Anthropic 新模型挖漏洞太快，微软紧急补洞

今年五月中旬的一个下午，数十名微软工程师与经理通过线上及线下方式聚集在华盛顿州雷德蒙德总部，讨论一个代号为「Project Glasswing」的应急项目。他们面对的难题是：Anthropic 新模型 Mythos 挖掘漏洞的速度，已经远超团队的修补能力。

Mythos 让微软进入「疯狂冲刺」

据 ProPublica 获得的会议录音，工程师们在会上确认了 Mythos 的能力——「是的，它确实达到了 Anthropic 所宣称的水准。」一位经理回应称，使用中的 Claude Mythos Preview 暴露漏洞的速度比微软打补丁的速度还快，工程师们正处在「一场疯狂的冲刺」中。

当天的内部演示文稿显示，仅在四月份，Mythos 就在 SharePoint 中发现了 90 个「关键」级漏洞和 141 个「重要」级漏洞，五月上半月数量继续上升。SharePoint 是微软广泛使用的协作软件，被各国政府与企业用于管理数据与文档。

工程经理 Hans Andersen 在会上恳切呼吁：「请务必、务必、务必在四月底前把你们组织名下的漏洞清掉。」他给出的截止时间是五月三十一日——「那一天，外界将追赶上」。

「分诊」策略下的隐患

面对海量漏洞，微软采取了业内典型的分诊做法：先修补关键级，再处理重要级，最后才考虑中等级别；内部文档未提及低危漏洞。SharePoint 团队预计将「忙碌数月」，先消化最高优先级漏洞，再于八月处理重要级。

但这种策略在 AI 挖洞时代暗藏风险。Anthropic 高级技术顾问、前 NSA 首席 AI 官 Vinh Nguyen 指出，Mythos 能够把多个看似独立的漏洞串联起来：「现在的问题在于，你能把四个低危漏洞串成一条攻击链，效果等同于一个高危漏洞。如果你是微软，当前的分诊策略可能低估了风险。」

微软发言人对此回应称，分诊决策基于可利用性、客户影响等多个因素，并表示漏洞链式利用「一直被视为漏洞评估与风险分析的一部分」。微软拒绝透露 Project Glasswing 启动以来已修补多少漏洞。

「窗口期」正在关闭

今年四月 Project Glasswing 公开后，国家安全专家就曾预警：美国拥有一个「窗口期」，可在对手掌握同等漏洞挖掘能力之前修补弱点。今年六月下旬，五眼联盟——美国、澳大利亚、加拿大、新西兰、英国——在罕见的联合声明中警告，这个窗口期正在关闭。

微软方面对 ProPublica 的提问回应称，「针对新漏洞的加速挖掘和利用并非新现象」，但承认会议上的发言反映了公司「在当下帮助客户的紧迫感」，并强调「安全是微软最重要的优先事项」。Anthropic 则拒绝就此置评。