今天，Mozilla放出一篇爆火的深度复盘博文——
Claude Mythos Preview使得Firefox的团队，在仅仅一个月这么短的期间之内，修复了数量达到423个之多的安全方面的漏洞！
让人惊讶得瞪大眼睛、说不出话来的是，4月单独一个月的漏洞修复数量，比之前15个月所有修复数量加起来还要多。
于2025年的时候，Firefox平均每个月修复多达21.5个具有安全性质的漏洞。在相同的这个时期当中的4月，这么多的情况下也仅仅只有31个漏洞得到了解决。
这种致使技术圈完全无法安坐的降维打击出现了，评论区域早就被AI领域大佬们发出的「哇塞」给刷屏了。
大佬亲自下场复盘：真正的「顶级猎手」
原话是，“突然之间，这些bug变得非常好”，写下这话的是Mozilla工程师。
仅仅在几个月之前，由AI生成的安全漏洞报告，尚还是开源社区的“噩梦”，它给人的感觉好像挺像回事，然而实际上完全都是Slop。
维护者花大量时间去验证一个「发现」，结果发现全是幻觉！
可是这所有的一切，于仅仅短短几个月的时间范围之内，产生了如同天地颠倒翻覆一般巨大的改变。重要的缘由存在着两个：
其一，模型自身变得更为强大了，其二，操控引导训练模型的工程办法产生了本质性的跃进。
说白了，模型在飞速变强，工程师在飞速学会怎么用它。
两条曲线，将它们相乘，得出的结果，便是Firefox这一个月423这个夸张的数字。
271个漏洞，180个高危，有的藏了20年
今年2月肇始，Firefox团队同Anthropic着手开展合作。
最早使用的是Claude Opus 4.6，在Firefox 148里，修复了22个安全方面的漏洞。
在Firefox 150版本发布之际，恰好Mythos Preview出现了，没人能够想到，它一下子挖掘出了271个安全漏洞。
更狠的是细节，这271个漏洞中：
180个被评为「高危」（sec-high）
80个被评为「中危」（sec-moderate）
11个被评为「低危」（sec-low）
sec 高级别的漏洞，只要用户正常地去浏览网页，就有可能会被触发。
这种漏洞，在过去十几年当中，常常是由外部白帽子，通过高额悬赏给挖掘出来以，而且一次的赏金，就是几千，甚至达到上万美元。
如今，Mythos简直是一下子就席卷了271个，随后，它还在149.0.2、150.0.1以及150.0.2当中逐步修复了更多。
4月，总计有着423个安全漏洞，其中，271个是被Mythos直接给发现的，41个源自外部安全研究员。
然而，那剩余下的111个，得由内部的团队，借助Mythos以外的别样模型、采取模糊测试等诸多方式去发觉。
更重磅的是，Mozilla还公开了12个漏洞的详细报告。
存在一个藏在代码里长达15年的HTML元素漏洞，还存在一个历经整整20年的XSLT相关bug。
「沙箱逃逸」都能挖，赏金2万刀那种
震动了安全圈的，是Mythos发现了多个「沙箱逃逸」漏洞（sandbox escapes），这是最令人震惊的情况。
浏览器会把每个网页放置于一个“沙箱”之中运行，哪怕网页遭到攻击者操控，它也是没办法逃离这个隔离区域的。
所谓沙箱逃逸，便是寻觅到途径，从这个隔离区域实现“越狱”，进而获取更高权限。
这类漏洞有多难找？连Fuzzing都很难覆盖。
给沙箱逃逸漏洞给予赏金开出最高金额达2万美元这件事，是Mozilla的「Bug Bounty计划」所为，而这是整个赏金体系的天花板。
纵使给予了最高额度的赏金，Firefox安全工程师Brian Grinstead仍称，「Mythos所发现的沙箱逃逸漏洞数量，已然超出了人类安全研究员数量的总和」。
而Mythos找「沙箱逃逸」的方式也很硬核：
它能够自行编写一段带有恶意性质且用于补注的代码，将其注入进入沙箱进程之中，随后运用这段相应的代码，去对浏览器最为安全的部分展开攻击。
整个过程需要创造性思维，以及对多进程架构的深度理解。
Agentic Harness，换模型只需一行代码
但，模型强只是一半。
一开始的时候呢，他们去试着采用GPT - 4或者Claude Sonnet 3.5来开展「静态代码分析」这项工作，然而，最终呈现出来的结果竟是误报率过高，以至于根本没有办法实现规模化呀。
Agentic Harness的现身，变成了转折点，这套系统的关键逻辑是——。
发现漏洞：给模型一段代码，让它找Bug
动态验证，模型编写测试用例，以此去动态验证假设，能复现的才可以说是算数的，不能复现的则会被自动排除。
去重和分诊：自动和已知漏洞比对，避免重复
跟踪和修复：进入正式的安全Bug生命周期
一开始，团队在终端里手动盯着模型跑，调Prompt。
运行畅通之后，便开展并行化操作，于多台临时虚拟机器之上进行同时运行，每一台VM承担扫描一个特定文件或者函数的任务。
是非常值得被提及的一点在于，一旦那个Pipeline搭建完成了世界杯直播观看，那么去更换模型仅仅只是一行代码所能够达成的事情了。
先从Opus 4.6进行切换，而后变成Mythos Preview，这整个过程，差不多算得上是毫无缝隙地连接在一起了。
并且，每一次模型进行升级的时候，整条Pipeline所呈现出来的效果都会同步地得到放大，具体表现为：发现的能力变得更强，验证会更加精准，产出的报告质量也会更高。
根据一些安全专家的说法，真正的杠杆或许并非仅仅存在于模型本身，而是存在于Harness的工程能力之中。
100多人连夜加班，不是自动修bug
Mythos Preview找到漏洞只是第一步。
博文中，Brian Grinstead表述得极为干脆，那就是，每一个Bug的存在情形是，一个工程师去编写补丁，还有另外一个工程师进行Code Review。
AI写的补丁只能当参考开云app官方入口网站，不能直接部署。
超过100名工程师参与了代码贡献，目的是为了消化这史无前例的漏洞洪流。
从事写补丁工作的人员，进行做代码审查工作的人员，开展搭管道工作的人员，执行做分类操作的人员，实施测试修复做法的人员，负责管理发布流程事务的人员开云真人app在线登录，全体成员一起上阵。
这堪称是，Firefox历史当中，规模最为庞大的安全修复行动，并且还由此诞生出了，有史以来最为安全的Firefox版本。
正面对决：Anthropic VS OpenAI
Firefox的423个漏洞只是冰山一角。
于这场有关AI安全能力的竞赛里面，Anthropic与OpenAI正顺着两条完全不一样的路线，以最快的速度向前冲——。
而两家的布局，已经清晰到令人窒息。
先看Anthropic这边。
4月初的时候，Claude Mythos Preview发布之际，另外还推出了一个名为「Project Glasswing」的，也就是玻璃翼计划的这么个事物。
Anthropic发布了其有史以来最为强大的模型，随后，亲手将模型关闭了起来，使其处于被关的状态。
他们宣称，Mythos在每一个主流操作系统里发现了数千个高危漏洞，在每一个主流浏览器中也发现了数千个高危漏洞，其中甚至包含一个潜伏了27年的漏洞OpenBSD。
看向OpenAI这个方向，他们所采取的路线是截然相反的，是朝着尽可能广泛的范围去进行开放的。
仅仅在Anthropic发布Mythos一周之后，OpenAI就紧跟着做出行动，发布了GPT-5.4-Cyber。同时，TAC计划也同步进行发展，面向数千名个人防御者以及数百个安全团队展开扩展。
就在今日，GPT - 5.5 - Cyber已对TAC最高层级的用户予以开放，它能够被用于猎杀漏洞，可以用来分析恶意软件，还能够进行逆向工程攻击。
于官博介绍当中，GPT - 5.5 - Cyber在网络任务里头，取得了81.9%的成绩。
OpenAI所呈现的逻辑清晰明确，先是针对身份开启验证流程，接着进行分级授权举措，而后是让繁多数量的防御者获取到强劲程度尽可能高的武器。
现今，Anthropic以及OpenAI均极为努力地去构建屏障。然而，人工智能安全能力的传播速率，或许远远地比他们构建墙壁的速度还要快。
参考资料：
https://x.com/alexalbert__/status/2052468573516513762?s=20
https://x.com/TechCrunch/status/2052420271970390042
https://x.com/AnthropicAI/status/2052466175540629965?s=20
标签： Firefox ClaudeMythosPreview 安全漏洞 AI Mozilla
还木有评论哦，快来抢沙发吧~