# Claude Mythos 不會擊垮世界 — 我們該準備的真正重要的防禦策略

> Anthropic 的 『Claude Mythos』 用 50 美元就能挖出陳年零日漏洞 — 別被那些刺眼的標題帶偏,真正該守住的是面對老套攻擊時最基礎的防禦姿態。

Date: 2026-04-30

Tags: Anthropic, Claude, 安全, 零日漏洞, AI

---

![](https://img.wiredxeco.com/wiredxeco/claude-mythos-reality/hero.webp)

"危險到無法公開發布" — 當 Anthropic 的新模型 『Claude Mythos』 被貼上這句話的瞬間,媒體便沸騰起來,4 月 24 日片山金融大臣甚至召集日本銀行與三大超級銀行行長召開了緊急會議。

不過,作為在一線守護系統的人,坦率地說,**眼下該做的不是慌忙重寫防禦戰略,而是回到平日的基本動作**。理由按順序寫下。

## Claude Mythos 到底做了什麼

只挑公開的事實來看,大致如此。

- 據報道具備以低成本、高速度挖掘出沉睡在全球軟件中的**陳年漏洞**的能力
- 在以安全堅固著稱的 **OpenBSD 中找到了自 1998 年以來一直存在的漏洞**,花費**約 50 美元(約 7,000 日元)**
- Linux 內核、Firefox 等主要瀏覽器中也接連出現類似的發現
- 提供方式**僅限於通過 Project Glasswing 的 11 家公司**(Amazon、Google、Microsoft、Apple、JPMorgan 等) — 日本企業為零
- 價格相比常規 API **設定為高級檔**

到這裡都是事實。問題在於,從這裡一路直線跳到"所以日本金融體系會崩潰"的那種報道溫度,我感覺是過頭了。

## "因為太危險所以不能公開"是當下流行的注意力經濟(Attention Economy)手法

Anthropic 現在是 AI 行業裡最勢頭正盛的"風頭公司",但它同時也只是和 OpenAI、Google 在殘酷地廝殺市場份額的一名玩家。在競爭對手林立的環境中,把關注度最大化集中到自家身上,對他們而言是攸關生死的"市場營銷工作"之一。

### "危險到不能放出"是終極的差異化
這次"暫緩公開"的決定,並不只是單純的倫理考量,同時也是針對競爭對手的強力反制策略;對採用方企業和國家而言,則是在挑動"只有自己被甩在後面"的不安與焦躁感。

### 把稀缺價值拉到極大
通過製造"被選中的 11 家公司(Project Glasswing 參與企業)"這一框架,讓無法參與的企業(尤其是海外企業等)產生被甩下的恐懼(FOMO)。

### 塑造"負責任企業"的品牌形象
即使遭到批評,也維持這樣高潔的自我犧牲敘事:"我們是為了把人類從零日攻擊中保護出來,才甘願承受這種批評。"

在 Haiku / Sonnet / Opus 的延續之上,再放上一個 "Mythos(神話)" 這樣的更高位概念,把模型的稀缺性與故事性推到極致,我認為也是同一脈絡上的動作。

### OpenAI 薩姆·奧特曼的批評
"真實的安全顧慮當然存在。但如果背後藏著 『我們才是值得信任的人,所以只有我們應該掌控 AI』 這樣的盤算,那麼煽動恐懼的營銷,正是把這種主張正當化的最有效手段。"

## 擅長找出系統"弱點"的"Claude Mythos"出現了,為什麼我們還能說世界不會崩塌

"零日漏洞"這個詞聽起來頗有幾分不祥,但若用經濟機制(收益與風險的平衡)來思考,就能看到為什麼"AI 大量找出零日漏洞 = 世界馬上完蛋"並不成立。

聽到"AI 量產零日漏洞"的新聞,可能會讓人感覺全世界的系統明天就要崩潰。但把它的真實面貌和經濟邏輯拆開來看,會浮現出意想不到的一面。

### 1. 那麼"零日漏洞"到底是什麼?
一句話講,就是"連開發者自己都還不知道的、軟件裡隱藏的弱點(Bug)"。

### 名字的由來
指的是從弱點被發現,到修補程序(補丁)被分發出去之間,這段時間為"0 天"的狀態,即"防禦措施完全來不及"的狀態下被攻擊的情況。
### "魔法鑰匙"
在尚未被任何人知曉的時間裡,這種弱點作為可以讓任何嚴密的安全防線失效、長驅直入的"魔法鑰匙",會在地下市場以極高的價格被交易。

## 2. 零日漏洞在被使用的瞬間就失去了價值
零日漏洞並不是鑽石那樣的資產,而是 **"一旦使用就會消失的消耗品"**。

*   **真身會暴露:** 一旦執行攻擊,防禦方的監控系統中就會留下"未知手法"的痕跡。
*   **會被立刻無效化:** 當優秀的工程師分析這些痕跡,把修復補丁推送到全世界的瞬間,那把"魔法鑰匙"就變成了一坨垃圾。這在黑客圈被稱為 **"(漏洞)被燒掉了"**。

## 3. Mythos 的登場,是壓倒性地有利於"防禦方"

如果像 Mythos 這樣的 AI,把過去要花數月才能完成的弱點發現,壓縮到"幾秒、幾千日元"就能完成,世界將按以下邏輯運轉。

### ① 武器的通貨緊縮(價格暴跌)
過去能以數億日元賣給國家機關的零日漏洞,一旦人人都能用 AI 量產,其稀缺價值就會暴跌。攻擊者再也無法把"好不容易找到的寶物"賣出高價。

### ② 發現與修復的超高速循環
AI 不是攻擊者專屬的工具。開發軟件的公司也會使用 AI,**"在產品出貨之前,就讓 AI 自行找出弱點並預先堵住"** 將成為常態。
*   **攻擊方:** 用 AI 找洞
*   **防禦方:** 用 AI 找洞,並用 AI 寫補丁
在這種"貓鼠遊戲"中,一旦修復成本被壓到極低,攻擊方就會被逼入"好不容易找到的洞,在還沒用上前就已經被堵住了"的境地。

### ③ 銷路的喪失
昂貴的零日漏洞過去之所以能作為一門生意成立,是因為存在特定經紀人或政府機構這樣的"有限買家"。即使 AI 像"噪聲"一樣找出了大量弱點,但要把它們組裝成實際的攻擊代碼(Exploit)、運營起來併產生戰果所需的工夫,會讓攻擊的性價比反而惡化。

## Mythos 加速的是一個"更安全的世界"
正如薩姆·奧特曼所指出的,"AI 能找出零日漏洞,所以很危險"這種說法,只是一種片面煽動恐懼的營銷話術。

真實的邏輯是,**"發現與修復之間的 lead time(時間差)被縮短"才是最大的變化**,這意味著我們使用的軟件,將比以往任何時候都更快、也更便宜地變得更加堅固。

## 攻擊者實際使用的手法

![](https://img.wiredxeco.com/wiredxeco/claude-mythos-reality/claude-mythos-reality.webp)

每年讀那些彙總實際入侵案例的報告,會發現原因排行榜上常年都是同樣的幾張面孔。

- **密碼重複使用**和洩露憑證的再利用
- 已知漏洞的**未打補丁放任不管**
- 公開桶、公開數據庫等的**配置錯誤**
- 通過**釣魚**實現的初始入侵

零日漏洞被使用的案例確實存在,但屬於**例外**。大多數大規模損害,都是把老套手法精細組合後產生的結果。Mythos 的登場是否會顛覆這個格局?**短期內,應該不會改變。**

## 我們該準備的真正重要的防禦策略

株式會社 Wired & Eco 在安全上的優先順序如下。

- **基礎衛生的徹底化** — MFA 強制化、根除密碼重複使用、機密信息管理
- **補丁運維與配置審計的常規循環** — 把"未打補丁數為零"作為目標
- **監控、日誌、網絡分段的強化** — 制定從檢測到遏制的 SLA
- **抗釣魚訓練** — 每季度進行模擬演練
- **漏洞修復 lead time 的 KPI 化** — 按月監控

比起"神話級 AI 對策",**把這五項的完成度做到位,在性價比上壓倒性更高**。這一點去年沒變,我相信明年也不會變。

## 結論

Claude Mythos 並不會像新聞頭條所暗示的那樣把世界擊垮。**會被擊垮的,是那些放任基本安全衛生不顧的組織,按順序倒下而已**。

每次出大新聞就重寫一次防禦戰略的組織,五年後大概率還停在原地。反過來,每年一點點把那五項不起眼的工作堆疊起來的組織,**無論 Mythos 是否問世、是否開源,都將相對地、持續變得更強**。