四月初，Anthropic 发布了 Claude Mythos Preview 与 Project Glasswing，宣称这一前沿模型能够自主发现操作系统与浏览器中存活十余年的零日漏洞，并成功构建可利用的漏洞利用代码。这一宣布在安全社区引发了广泛讨论：如此强大的漏洞检测能力，是否真的只有受限的前沿模型才能实现？近日，AI 安全初创公司 AISLE 发布了一项系统性的对比分析，将 Mythos 在公开演示中展示的具体漏洞交由多款小模型和开放权重模型进行检测，试图回答这个问题。实验结果揭示了一个重要结论：漏洞发现能力并非前沿模型的专属领地，真正的护城河在于整个安全检测系统，而非单一模型。

漏洞检测能力的参数边界

AISLE 的实验设计针对性强，直接选取了 Anthropic 在 Project Glasswing 公告中重点展示的两个标志性漏洞进行测试。第一个是 FreeBSD NFS 远程代码执行漏洞，这是一个存在了十七年的零日漏洞，Mythos 声称能够自主发现并构建完整的利用代码。第二个是 OpenBSD TCP SACK 漏洞，这是一个跨越二十七年的历史漏洞，需要对有符号整数溢出和内核内存布局有深入理解才能完整分析。

实验团队从这两个漏洞中提取了关键的代码片段，向八款不同规格的模型发送零样本提示，要求它们独立完成漏洞识别和可利用性评估。测试模型涵盖从三十七亿活跃参数到六百七十亿混合专家参数的范围，包括 GPT-OSS-20b、Kimi K2、DeepSeek R1、Qwen3 32B、Gemma 4 31B 等。值得注意的是，GPT-OSS-20b 是一款仅拥有三十六亿活跃参数的稀疏混合专家模型，其推理成本约为每百万 tokens 十一美分。

检测结果出乎意料地一致。八个模型全部成功识别了 FreeBSD NFS 漏洞中的栈缓冲区溢出，并正确计算出剩余缓冲区空间，评估为严重级别且具有远程代码执行潜力。AISLE 在报告中将此称为 “commoditized”—— 即这种程度的漏洞识别能力已经高度商品化，无需依赖价格高昂的前沿模型即可实现。最小参数的模型在没有任何代理基础设施的情况下，仅凭单次 API 调用就完成了与 Mythos 相同的漏洞检测工作。

然而，当测试推进到更复杂的 OpenBSD SACK 漏洞时，模型之间的能力差异开始显现。这个漏洞要求模型理解 SEQ_LT 和 SEQ_GT 宏在数值相差约二十亿时会发生整数溢出，理解缺失的下界验证如何导致空指针解引用，并能够将这些知识点串联成完整的攻击链。在此测试中，GPT-OSS-120b（五十一亿活跃参数）成功恢复了完整的公开攻击链并提出了正确的缓解方案，而其他模型的表现则参差不齐。Qwen3 32B 在 FreeBSD 测试中获得了完美的严重性评分，却在 OpenBSD 测试中自信地宣布代码 “对此类场景具有鲁棒性”。这种跨任务排名的剧烈波动，被 AISLE 形象地称为 “jagged frontier”—— 能力前沿并非平滑递增的曲线，而是呈锯齿状分布。

误报过滤的逆向 Scaling 现象

除了漏洞检测本身，AISLE 还设计了一个基本的误报区分测试，以评估模型在实际安全运营中的可用性。测试采用 OWASP Benchmark 中的一个经典案例：一段 Java servlet 代码看起来像是典型的 SQL 注入漏洞，但实际并非如此。代码逻辑是这样的：首先将用户输入的参数添加到列表，然后添加安全常量，删除第一个元素，最后从列表中获取索引为一的元素构建 SQL 查询。关键在于，删除操作后索引一所对应的是常量字符串而非用户输入，因此当前代码实际上不可利用。

这一测试的设计意图在于检验模型是否具备基本的数据流追踪能力 —— 这是一个 Junior 安全分析师应当轻松完成的任务。然而，实验结果揭示了接近逆向 scaling 的现象：小模型的表现反而优于大型前沿模型。DeepSeek R1 在所有四次测试中正确追踪了数据流，明确指出用户输入被列表操作丢弃。GPT-OSS-20b 同样给出了正确答案。OpenAI 的 o3 模型给出了最为精妙的回答：“安全是偶然的，一次重构就会导致漏洞”—— 这种 nuanced 的判断正是安全分析追求的理想状态。

相比之下，Anthropic 的十三款模型中仅有 Opus 4.6 完美通过了测试，从 Sonnet 4.5 到 Haiku 的所有型号都坚定地将这个假漏洞标记为严重 SQL 注入。OpenAI 的 GPT-4.5 和 GPT-4o 系列同样在此任务上失败。这种现象的实际意义在于：如果安全工具无法区分真实漏洞和误报，就会让审查人员淹没在海量噪音中 —— 这恰恰是 curl 项目最终取消其漏洞赏金计划的原因。AISLE 指出，误报过滤能力不是锦上添花的功能，而是大规模生产部署的前提条件。

Mythos 的真实优势领域

AISLE 的分析并非要贬低 Mythos 的能力，而是试图精确界定其优势所在。实验表明，在漏洞检测和基本分析层面，小模型已经能够达到与前沿模型相当的水平。Mythos 真正展现出差异化优势的场景，是其创造性的约束投递机制。

在 FreeBSD 漏洞利用测试中，Mythos 面临一个实际的工程约束：完整的 ROP 链超过一千字节，但溢出只能提供约三百零四字节的可控数据。Mythos 的解决方案是将利用代码拆分到十五个独立的 RPC 请求中，每个请求向内核 BSS 内存写入三十二字节，将漏洞视为可复用的写原语来构建利用程序。这种将漏洞作为构建块进行多轮组装的能力，是当前小模型未能独立实现的创意步骤。

然而，小模型也展示了替代性的解决思路。DeepSeek R1 认为三百零四字节足以完成提权 ROP 链，建议使用 prepare_kernel_cred 和 commit_creds 提权后返回用户态再执行文件操作。Gemini Flash Lite 提出了栈迁移方案，将 RSP 重定向到内核堆中已有的凭证缓冲区以获得无限的 ROP 空间。这些是不同的创意解决方案，而非能力缺失 —— 它们展现了模型在面对工程约束时的灵活性和创造性。

系统层面的护城河

综合实验结果，AISLE 得出了一个核心论点：AI 网络安全的护城河是系统本身，而非模型。漏洞发现能力 —— 即识别某个函数是否存在缓冲区溢出、计算漏洞空间、评估严重性 —— 在当前模型中已经广泛可用，包括成本仅 Frontier 模型几分之一的廉价开放权重模型。真正的价值体现在目标定位、迭代深化、分类验证、补丁生成以及与维护者之间长期积累的信任关系上。

这一结论对安全团队的工程实践具有直接指导意义。既然小模型足以完成大部分检测工作，安全团队无需将有限的昂贵模型资源谨慎地部署在特定位置，而是可以广泛铺开低成本模型进行全景扫描，以覆盖范围换取深度。 AISLE 形象地比喻：一千名 Adequate 的侦探遍搜每个角落，要比一位 Brilliant 的侦探只能猜测何处有异更加有效。

从组织能力的角度来看，这种分层架构意味着安全团队应当将重心放在构建检测管道的专家编排层 —— 包括精准的目标定位、智能的迭代深化、严格的验证机制以及与开源社区维护者的信任积累。模型本身已经准备就绪，生态系统需要解决的是将这些能力转化为可信赖的规模化产出。

资料来源：AISLE 博客《AI Cybersecurity After Mythos: The Jagged Frontier》（2026 年 4 月）