交付物就是漏洞利用程序

周五，Anthropic 把最强模型用于安全工作的使用权扩大了。 Claude Mythos 5 此前被圈在 Project Glasswing 之内，那是一小群防守关键软件的组织。现在它跑在 面向 Enterprise 客户的 Claude Security 里，也正进入合作伙伴的防御型产品；而让通过审核的防御 方享有较宽松防护的 Cyber Verification Program 同样在扩大。Anthropic 还通过新设的 Defender Advantage Fund，投入 3,500 万美元的额度支持开源安全工作。

周六，The Register 报道了 同一笔交易的需求端。 前 NSA 的 Rob Joyce 在 RSAC 上说：「不管你付不付钱，你都会被红队打。唯一的区别是，你知道 结果落到谁手里。」带过 Mandiant 全球红队、如今联合创办 Armadin 的 Evan Peña 说：「我们找到 超过 50 个零日漏洞……都能让攻击者在真实系统上拿到远程代码执行。」他还补了一句，智能体 「不睡觉，也不休假。」

两则报道都处理了「谁可以要求攻击性能力」。两则都没有处理「返回的代码在哪里跑」，而它一定会 跑在某个地方。

Anthropic 把防护画在模型周围

那篇文章把设计讲得很清楚，而且是好设计。Anthropic 管理的风险是对模型的直接访问：「风险最高 的行为发生在用户能直接访问模型的时候，恶意行为者可以试着把它引向有害用途。但如果用户只能 收到特定的输出，比如某个漏洞的补丁或一条安全告警，这个风险就低得多。」

所以合作伙伴的产品在后台为一项定义好的任务运行 Mythos，然后交回一份成果。修复工具返回建议 的补丁。手里拿着工具的人没办法回过头要一份能用的漏洞利用程序，因为他们从来没跟模型说过话。 Claude Security 也是同样的做法：它扫描你自己的仓库，把每项发现连同 CWE 类别、置信度与严重度 评分、以及建议的修法一起返回。每一个补丁都由人审阅并批准。

公告里有一句话，把这个故事搬到了笔记本上。拿到发现之后，你「在网页版打开 Claude Code 来实现 这个修法。」

这是正确的产品决定。扫描和打补丁是两种工作，而打补丁这种工作要的是一个普通仓库里的普通 智能体。这也正是「模型访问」这道边界再也够不着的地方。Cyber Verification Program 从另一头 走到同一个位置：它宣示的目的是「尽量减少对通过审核的团队造成的中断，这些团队在获授权保护的 系统上开展正当的网络安全工作。」刻意放宽的防护，给的是那些智能体必须写攻击性代码的人。每个 月都有更多笔记本跑着一个你一开口就会写出并执行概念验证的智能体，而这正是把它交给防御方的 全部意义。

访问控制回答了谁可以开口。它没有回答答案可以碰到什么。

两万六千个智能体，三天

The Register 的数字来自 Armadin 与 TENEX.ai 合作执行的一次委托，详见 本月早些时候的联合新闻稿。 三天、一家未具名的全球机构、零知识条件：没有特权凭据、没有白名单、没有源码访问。蜂群先把 侦察结果索引进知识图谱，接着对超过 25,000 个服务放出 26,000 个智能体与 1,300 次攻击，产生 1,700 万次攻击性动作。带回来的是 238 项发现，其中 98 项重大，以及 38 条已验证的攻击路径。

防御这一半交出了更硬的数字。TENEX.ai 分流了 101,169 条告警，并从 2,310 亿条原始事件中把整件 事重建出来，其中攻击者的活动是 13,338 条里的 1 条。

曾任 CISA 网络安全代理负责人、现在在 Merlin Group 的 Matt Hartman 对 The Register 说，各家 组织「将不得不把每一个智能体都当作特权身份来对待。」EC-Council 的 Jay Bavisi 补上另一半。 「没有人会对整个组织做渗透测试，」他说，而攻击者「没有范围的问题。」

你自己的智能体也没有范围的问题，除非你给它一个。

一场普通安全工作里的四样不可信之物

先把蜂群放一边，看一个工程师在某个星期二做找出并修好的工作。Claude Security 标出了什么，你 打开一个智能体去写补丁，而为了知道补丁有效，你让它复现这个缺陷。那场工作里有四样东西，机器 没有任何理由信任它们；而且不管发现来自蜂群还是扫描器，都是同样这四样。

要走到这份清单，没有人犯过错。它描述的是在一台通用计算机上做安全工作的常态。

Bromure 为每一样都给出一个控制

Bromure Agentic Coding 让智能体跑在 Apple Virtualization 框架上的一次性 Ubuntu 虚拟机里，它 有自己的内核，只挂载你挑选的 Mac 文件夹，对外唯一的通道是宿主机端的 MITM 代理。那正是图右半 边缺掉的边界。

在模型之前，有东西先读过目标的内容。 Prompt Injection 面板会用本地的 PromptGuard 模型， 为智能体拉进来的文件内容、网页与工具输出，也就是它的 tool_result 块打分。它会用微调过的 ModernBERT 分类器，为智能体当作权威看待的指令文件打分（CLAUDE.md、AGENTS.md、GROK.md， 以及它们的嵌套版与全局版），并配上一个确定性的扫描器，处理模型读不出来的不可见 Unicode 混淆。两者都在你的 Mac 上运行，什么都不往外发。检出之后要做什么由你决定：记录、问你，或在 模型看到那段文字之前用 451 让请求失败。

Bromure 在镜像源那一端检查工具。 每一次包抓取都先经过宿主机代理：npm、PyPI、Cargo、 RubyGems、Maven、NuGet、Go、Packagist。发布时间闸门默认开启、阈值两天，所以今天早上才发布的 扫描器装不上。浮动的版本范围会解析到早于截止时间的最新版本，而指名太新版本的固定引用会返回 一个带着 Bromure 错误的 451。OSV 查询会按你选的严重度挡掉已知有漏洞的版本。Bromure 会即时把 安装脚本从 npm tarball 里剥掉，并改写 tarball 与镜像源元数据的哈希，让 npm 自己的校验照样 通过。虚拟机里的 .npmrc 只能把这些收得更紧，不能放松。

范围不再只是一份文档。 在 Guardrails 底下，Outbound connections 表是一套按配置文件生效的 防火墙：一条规则一行，各自带着动作、协议（tcp、udp、web 或 any）、主机或 CIDR、端口， 以及 web 时的 HTTP 方法列表。规则自上而下匹配，第一个命中的获胜，而 Unmatched traffic 是一个双向开关。把它设成 Deny，加上这次委托的主机，Bavisi 说的范围问题就变成了一个包过滤器。 透明拦截默认开启，所以哪怕客户机把 HTTPS_PROXY 取消，也不会改变哪些连接能出去。每一次放行 与每一次拒绝都会落进 Security Log。

伸手可及的凭据并不是凭据。 真值从来不会进到虚拟机里。代理在链路上把占位符换成真正的 令牌，客户机里的 kubeconfig 是带着一次性客户端证书的合成品，AWS 则拿到一个 credential_process 辅助程序，它交给 SDK 一组四十个字符的假密钥，而宿主机端用真正的密钥材料 重新签出 SigV4。任何绕过代理的东西，都会从 Amazon 拿回 InvalidSignatureException。每一份 凭据还带着 Off、Block destructive 或 Read-only 的写入策略，在宿主机代理里强制执行，被入侵的 智能体没法跟它讲道理：一次没有理由去删 S3 存储桶的验证运行，真动手时会硬吃一个 403。 Require approval to use 把一份凭据变成一个同意提示，并给出五分钟、一小时或本次会话剩余时间 的限时授权。这很适合红队行动中的 SSH 密钥：你希望签名真的发生，也希望知道它发生过。

那份你本来就得写的记录

红队工作会产生文书。你碰了什么、什么时候、用哪个身份、回来的是什么。Bromure 把其中大部分当 作副作用写下来。Security Timeline 窗口维护一张按时间排序的表，涵盖每一次凭据替换与签名、 每一次包判定、每一次防火墙放行与拒绝，以及每一次注入检出，全部保存在 Mac 上，虚拟机里没有 任何东西能编辑它。把会话的跟踪级别调高，代理连消息体也会保留，并以 AES-GCM 加密，用的是跟你 配置文件密钥相同的钥匙串密钥。

在两次委托之间，存储层是可以拆开的。Erase home… 把配置文件的 /home/ubuntu 重置回克隆 完成时的状态，顺带带走那些克隆、载荷、shell 历史和扫描器缓存。Reset to base… 丢掉你用 sudo apt install 装的一切，并重新克隆工作区的系统盘。上一个目标留下的残渣，不会跟着你到 下一个目标。

给这份能力一个落地的地方

Anthropic 的分阶段开放，是一个艰难决定的负责版本。交给防御方成果而不是模型，正是那种能把 前沿能力送到修补医院与公用事业的人手上、又不会同时送给所有人的形状，而补丁上的人工批准那一 步并不是装饰。Armadin 与 TENEX.ai 是通过一层带监督安全模型的控制层执行这次委托的，另一头还 有真正的 SOC 在看。这个星期新闻里的每一方，表现都很好。

这一切没有覆盖到的，是笔记本。所有那些谨慎，在一项发现变成一个文件的那一刻就结束了，而那个 文件落到的是一台通用机器，从 IT 发下来那天起就一直在收集凭据。Joyce 说得对：你反正都会被 红队打。攻击性智能体存不存在，不是你能挑的。你能挑的是它在哪一台机器上醒来，而且你可以挑一 台用完就扔的。

---

资料来源：Anthropic，「Bringing the cybersecurity capabilities of Claude Mythos 5 to more defenders」（2026 年 8 月 21 日） · The Register，「If you're not using AI to attack your own systems, your adversaries will」（2026 年 8 月 22 日） · Armadin 与 TENEX.ai，「Largest Controlled Live AI Cyberattack on Record」（2026 年 8 月 3 日） · SecurityWeek，「Kevin Mandia's Armadin Launches With $189.9 Million in Funding」