AI 正在改写漏洞发现的游戏规则——从 Copy Fail 到 Mythos，我的观察与思考#

1. 传统 Fuzzing 的盲区，恰好是 AI 的舒适区#

传统模糊测试（Fuzzing）的核心策略是”广撒网”——生成海量随机输入，监控程序是否崩溃。这种方法有明确盲区：

• 需要跨多步状态迁移才能触发的逻辑 bug：Fuzzing 的随机扰动几乎不可能精确命中的路径组合
• 不产生崩溃的越界写：Copy Fail 只写 4 字节到页缓存，程序不会崩溃，fuzzer 感知不到
• 语义层面的设计缺陷：缺少鉴权检查、不安全的默认配置——这些没有”code smell”

Mythos 在 FFmpeg 中发现的一个 H.264 编解码器漏洞，被测了 500 万次却从未被 fuzzer 捕获。原因很简单：Fuzzing 是”物理攻击”（暴力碰撞），而 AI 是”化学分析”（理解结构和意图）。

AI 审计的工作方式更接近一个经验丰富的安全研究员：

1. 理解代码上下文和设计意图
2. 跨文件追踪数据流，拼出完整调用链
3. 推断”这里可能需要校验”但代码里没有
4. 自己写 PoC 来验证猜测

2. 能力是”涌现”的，不是专门训练的#

Anthropic 的研究团队明确表示：

“我们没有专门训练 Mythos Preview 去做漏洞挖掘。这种能力是代码理解、逻辑推理和自主执行能力整体提升后，自然涌现的副产品。”

这可能是最值得警惕的一点：你不必是一个安全专家就能挖出安全漏洞。 Anthropic 的工程师们——没有正规安全培训——睡前让 Mythos Preview 去”找几个 RCE 漏洞”，第二天早上醒来，一个完整的工作 Exploit 已经摆在面前。

当漏洞挖掘不再是一个需要十年功力的手艺，而成了大模型能力的”自然副产品”时，攻防博弈的底层逻辑就被改变了。

3. 经济模型彻底崩塌#

做一个简单的对比：

过去漏洞挖掘是一个”手艺活”，一个顶级安全研究员的价值相当于几十人的普通团队。现在 $1,000 能让 AI 在几小时内跑完以前需要几个团队审计数月的工作量。

这不是在讨论”AI 能不能替代人”。它已经替代了——至少在大规模初筛这件事上。

变化一：发现速度 > 修复速度，出现永久剪刀差#

漏洞发现已经进入”机器速度”，而修补漏洞依然需要：人类理解报告 → 写补丁 → 代码审查 → QA 测试 → 发布 → 用户部署。

当你一天能发现 100 个漏洞但人类一天只能修补 3 个时，剪刀差只会越来越大。这不是一个短期内能解决的问题——因为修补漏洞这个环节本身就很难自动化：你需要理解业务逻辑、评估副作用、向上游提交、说服 maintainer 合并。

变化二：潜伏漏洞的”库存”正在被系统性清点#

过去你说”这个代码库可能有漏洞”是一个猜测。现在有了 AI 审计后，过去 15~27 年积累的未发现漏洞正在被批量曝光。

这对防守方是好事——你能在被恶意利用前修复。但也有一个残酷的副产品：AI 审计成果对攻击者和防守方是对称的。Anthropic 可以部署 Mythos 给 Project Glasswing 联盟做防御性扫描，但类似的能力迟早会以其他形式落入攻击者手中。

事实上，2025 年 11 月已经有国家级攻击者使用 AI 编码工具构建攻击链；Google Threat Intelligence Group 在 2026 年 5 月拦截了一次计划中的 AI 生成零日攻击行动。

变化三：漏洞挖掘从”精英手艺”变成”基础设施”#

微软 MDASH 系统使用了 100+ 个专业 AI Agent 协同工作，覆盖代码理解、威胁建模、数据流追踪、PoC 生成、Exploit 验证等环节。

这是一种”工业化流水线”思路：不是造一个全能的 AI 研究员，而是把研究员的工作拆解成多个环节，每个环节由专门的 Agent 负责。结果令人震惊：

• 21/21 人工埋点漏洞全部检出，零误报
• 回溯 5 年 MSRC 确认案例，clfs.sys 召回率 96%，tcpip.sys 100%
• CyberGym 公开基准 88.45%，排名第一

变化四：AI 系统自身成为新的攻击面#

讽刺的是，当 AI 帮你挖漏洞时，AI 本身也成了最高价值的攻击目标。

2026 年 5 月，Cursor 被曝 CVE-2026-26268——攻击者只需让开发者克隆一个恶意仓库，Cursor 的 AI Agent 会自动执行其中的 Git Hook，在开发者毫无感知的情况下运行攻击者代码。这是攻击面的质变：不是攻击 AI 模型本身，而是利用 AI Agent 的自主行为作为攻击载体。

同一时期，PraisonAI 框架的 CVE-2026-44338（CVSS 9.6）在公开披露后 3 小时 44 分钟内就被武器化。因为未认证接入不仅能泄露数据，还能触发多步自主任务执行——相当于攻击者可以直接操纵受害者部署的 AI Agent 去执行恶意操作。