AI漏洞挖掘引发全球担忧，中国企业推出应对方案

本报记者 马 俊

据英国《金融时报》报道，美国AI公司Anthropic发布的最新大模型Mythos引发多国政府和企业警惕，该模型具备远超传统人力的网络漏洞挖掘能力，可能加速黑客攻击。随着AI大模型兴起，网络攻防格局正被深刻改变。中国作为全球网络攻击重灾区之一，面临AI带来的新挑战，正在探索应对之策。

大模型漏洞挖掘能力引发全球关注

报道指出，Anthropic于本月初发布的Mythos大模型能比传统方法更快发现软件缺陷。该公司宣称，该模型已跨过关键能力门槛，可自动发现并验证主流操作系统和浏览器中的未知安全漏洞（即“零日漏洞”），并能探讨如何对闭源软件进行漏洞利用逆向工程，以及将已知未修补漏洞转化为攻击手段。据称，Mythos已发现数千个高危漏洞，其中部分存在长达10年至20年之久。

业内专家向《环球时报》记者表示，传统依靠人力挖掘系统漏洞极为困难，需要专业黑客耗费数年时间进行代码分析、研判和测试，成本高昂。

Anthropic最初是为了验证AI编程代码可靠性而开发漏洞挖掘模型，试图“用AI检测AI”。但业界意识到，该能力是“双刃剑”，既能高效发现漏洞，也可能降低攻击门槛，加剧数据泄露和关键基础设施瘫痪风险。

《金融时报》援引Vanta首席执行官克里斯蒂娜·卡乔波的话称：“AI大模型驱动的网络攻击频率和复杂度正在上升，多数企业尚未准备好应对相关风险。”数据显示，2025年AI驱动的网络攻击较2024年同期增长89%。

Anthropic内部也承认风险。负责前沿“红队”测试的洛根·格雷厄姆表示：“有人可能利用Mythos自动化大规模挖掘漏洞，而全球大多数组织难以及时修补。”

各国政府已关注此风险。近日，美国财长贝森特和美联储主席鲍威尔召集大型银行讨论Mythos带来的威胁。英国AI负责人纳拉扬表示“应该担心”该模型能力。德国央行行长纳格尔建议向受影响机构开放Mythos使用权限。

中国需具备相应能力

据《纽约时报》报道，Anthropic严格控制Mythos访问权限，重点与40多家关键基础设施技术支持组织分享，包括亚马逊、苹果和微软，协助开发安全修复方案。

韩国《每日经济》网站指出，Mythos漏洞挖掘能力涉及国家级网络安全问题，不具备相应能力的国家将陷入困境。Anthropic联合11家科技公司启动的Glasswing项目仅限美国大科技和金融公司参与。

中国作为网络攻击受害严重国家，也在积极应对。新加坡《联合早报》23日报道，中国网络安全公司360集团开发了一款AI驱动的“漏洞挖掘智能体”，已发现近1000个此前未知漏洞，其中50余个被认定为高危漏洞，覆盖Windows内核、Office组件、OpenClaw及物联网设备。

360集团创始人周鸿祎接受《环球时报》采访时表示，传统漏洞挖掘无规律可循，依赖运气。AI大模型加入后，网络安全对抗从人与人变成算法、算力、机器与人的对抗，挑战严峻。

周鸿祎指出，若攻击方具备类似Mythos的能力，可扫描对方代码库获得数百倍漏洞，使防御方处处是突破口，关键基础设施被攻击概率可能增加数百倍，攻击难度大幅降低。为此，中国必须发展AI挖掘漏洞的能力。他承认大模型技术不如Anthropic，但可结合安全经验弥补。360集团“漏洞挖掘智能体”融合大模型、编程代码理解及丰富攻防经验。

苏黎世联邦理工学院研究员尤金尼奥·贝宁卡萨指出，人工智能正从辅助工具向可扩展的漏洞研究引擎发展。

网络安全对抗未来走向何方？

周鸿祎表示，借助AI大模型，一方面可主动挖掘自身漏洞及时修补，另一方面在对手攻击时，防守方可通过算力批量生产自动化智能体，以算力对算力，以智能体对智能体，保持攻防平衡。

他指出，AI大模型改变了网络安全根本格局。传统网络攻击受限于黑客体力精力，而AI可通过“蒸馏”黑客经验，复制成千上万黑客智能体，实施不对称攻击。

因此应对方式须采用“用AI对抗AI、用算力对抗算力”思路，发展“网络安全智能体”。周鸿祎比喻：“像孙悟空拔毫毛变出小猴子，复制出专业智能体处理报警，网络安全专家从重复工作中解脱，只在关键节点判断。”

周鸿祎强调，漏洞挖掘智能体好比AI时代的“网络核武器”，必须掌握它才能避免网络空间平衡被随意打破。