交付的東西就是漏洞利用程式
週五，Anthropic 把前沿網路安全能力的存取權向防禦方擴大，並且設下防護，讓你拿到修補程式、永遠拿不到提示詞。週六，The Register 報導了同一筆交易的另一端：26,000 個代理組成的蜂群，三天內執行了 1,700 萬次攻擊性動作。兩邊的防護都圍著模型。真正把一項發現變成能跑的程式碼的那台機器在防護之外，而 Bromure Agentic Coding 正是為那台機器而做的。
直到這個星期以前，大家對編碼代理的擔心是有人會誘騙你的代理去執行漏洞利用程式。如今 Anthropic 和一整排紅隊廠商，正把「你開口它就寫出漏洞利用程式」的代理交到防禦方手上，而且 理由都很正當。請對這些代理問第二個問題：它們跑在誰的機器上？
週五，Anthropic 把最強模型用於資安工作的存取權擴大了。 Claude Mythos 5 原本被圍在 Project Glasswing 之內，那是一小群防守關鍵軟體的組織。現在它跑在 給 Enterprise 客戶的 Claude Security 裡，也正進入合作夥伴的防禦型產品；而讓通過審查的防禦方 享有較寬鬆防護的 Cyber Verification Program 同樣在擴大。Anthropic 另外透過新設的 Defender Advantage Fund，投入 3,500 萬美元的額度支持開源資安工作。
週六，The Register 報導了 同一筆交易的需求端。 前 NSA 的 Rob Joyce 在 RSAC 上說：「不管你付不付錢，你都會被紅隊打。唯一的差別是，你知道 結果落到誰手上。」帶過 Mandiant 全球紅隊、現在共同創辦 Armadin 的 Evan Peña 說：「我們找到 超過 50 個零時差漏洞……都能讓攻擊者在真實系統上取得遠端程式碼執行。」他還補了一句，代理 「不睡覺，也不放假。」
兩則報導都處理了「誰可以要求攻擊性能力」。兩則都沒有處理「回傳的程式碼在哪裡跑」，而它一定 會跑在某個地方。
Anthropic 把防護畫在模型周圍
那篇文章把設計講得很清楚，而且是好設計。Anthropic 管理的風險是模型的直接存取：「風險最高的 行為發生在使用者能直接存取模型的時候，惡意行為者可以試著把它導向有害用途。但如果使用者只能 收到特定的輸出，例如某個漏洞的修補程式或一則安全警示，這個風險就低得多。」
所以合作夥伴的產品在背景為一項定義好的任務執行 Mythos，然後交回一份成果。修復工具回傳建議 的修補程式。手上拿著工具的人沒辦法回過頭要一份能用的漏洞利用程式，因為他們從來沒跟模型說過 話。Claude Security 也是同樣的做法：它掃描你自己的儲存庫，把每項發現連同 CWE 類別、信心與 嚴重度評分、以及建議的修法一起回傳。每一份修補程式都由人審閱並核准。
公告裡有一句話，把這個故事搬到了筆電上。拿到發現之後，你「在網頁版開啟 Claude Code 來實作 這個修法。」
這是正確的產品決定。掃描和修補是兩種工作，而修補這種工作要的是一個普通儲存庫裡的普通代理。 這也正是「模型存取」這道界線再也伸不到的地方。Cyber Verification Program 從另一頭走到同一個 位置：它宣示的目的是「盡量減少對通過審核的團隊造成的中斷，這些團隊在獲授權保護的系統上進行 正當的資安工作。」刻意放寬的防護，給的是那些代理必須寫攻擊性程式碼的人。每個月都有更多筆電 跑著一個你一開口就會寫出並執行概念驗證的代理，而這正是把它交給防禦方的全部意義。
存取控制回答了誰可以開口。它沒有回答答案可以碰到什麼。
兩萬六千個代理，三天
The Register 的數字來自 Armadin 與 TENEX.ai 合作執行的一次委託，詳見 本月稍早的聯合新聞稿。 三天、一家未具名的全球機構、零知識條件：沒有特權憑證、沒有白名單、沒有原始碼存取。蜂群先把 偵察結果索引進知識圖譜，接著對超過 25,000 個服務放出 26,000 個代理與 1,300 次攻擊，產生 1,700 萬次攻擊性動作。帶回來的是 238 項發現，其中 98 項重大，以及 38 條已驗證的攻擊路徑。
防禦這一半交出了更硬的數字。TENEX.ai 分流了 101,169 則警示，並從 2,310 億筆原始事件中把整件 事重建出來，其中攻擊者的活動是 13,338 筆裡的 1 筆。
曾任 CISA 網路安全代理主管、現在在 Merlin Group 的 Matt Hartman 對 The Register 說，各組織 「將必須把每一個代理都當成特權身分來對待。」EC-Council 的 Jay Bavisi 補上另一半。「沒有人會 對整個組織做滲透測試，」他說，而攻擊者「沒有範圍的問題。」
你自己的代理也沒有範圍的問題，除非你給它一個。
一場普通資安工作裡的四樣不可信之物
先把蜂群放一邊，看一個工程師在某個星期二做找出並修好的工作。Claude Security 標出了什麼，你 開一個代理去寫修補程式，而為了知道修補程式有效，你讓它重現這個臭蟲。那場工作裡有四樣東西， 機器沒有任何理由信任它們；而且不管發現來自蜂群還是掃描器，都是同樣這四樣。
目標自己的內容
原始檔、README、HTTP 回應、錯誤字串、簽入版控的 AGENTS.md。這些全部會以文字進入代理的
脈絡，而其中有一部分正是你要測試的那一方寫的。
工具
掃描器、模糊測試輔助、協定函式庫。它們以 npm、PyPI、Cargo 和 Go 的抓取形式即時解析而來， 常常出自團隊裡沒有人讀過的套件。
範圍
委託的範圍是文件裡的一句話。筆電上沒有任何東西知道哪些主機在範圍內，而一個走偏的偵察步驟， 看起來跟一個乖乖待著的完全一樣。
伸手可及的憑證
一把 SSH 金鑰、一份 kubeconfig、雲端金鑰、容器登錄檔的登入資訊。沒有一樣屬於這項任務，卻
每一樣都離正在跑的東西只有一個 cat 的距離。
要走到這份清單，沒有人犯過錯。它描述的是在一台通用電腦上做資安工作的常態。
Bromure 為每一樣都給出一個控制
Bromure Agentic Coding 讓代理跑在 Apple Virtualization 框架上的一次性 Ubuntu 虛擬機裡，它有 自己的核心，只掛載你挑選的 Mac 資料夾，對外唯一的通道是主機端的 MITM 代理伺服器。那正是圖右 半邊缺掉的界線。
在模型之前，有東西先讀過目標的內容。 Prompt Injection 面板會用本機的 PromptGuard 模型，
為代理拉進來的檔案內容、網頁與工具輸出，也就是它的 tool_result 區塊評分。它會用微調過的
ModernBERT 分類器，為代理當成權威看待的指令檔評分（CLAUDE.md、AGENTS.md、GROK.md，
以及它們的巢狀版與全域版），並搭配一個決定性的掃描器，處理模型讀不出來的不可見 Unicode
混淆。兩者都在你的 Mac 上執行，什麼都不往外送。偵測到之後要做什麼由你決定：記錄、問你，或在
模型看到那段文字之前用 451 讓請求失敗。
Bromure 在登錄檔那一端檢查工具。 每一次套件抓取都先經過主機代理：npm、PyPI、Cargo、
RubyGems、Maven、NuGet、Go、Packagist。發布時間閘門預設開啟、門檻兩天，所以今天早上才發布的
掃描器裝不起來。浮動的版本範圍會解析到早於截止時間的最新版本，而指名太新版本的固定引用會回
一個帶著 Bromure 錯誤的 451。OSV 查詢會依你選的嚴重度擋掉已知有漏洞的版本。Bromure 會即時把
安裝腳本從 npm tarball 裡剝掉，並改寫 tarball 與登錄檔中繼資料的雜湊，讓 npm 自己的驗證照樣
通過。虛擬機裡的 .npmrc 只能把這些收得更緊，不能放鬆。
範圍不再只是一份文件。 在 Guardrails 底下，Outbound connections 表格是一套按設定檔生效的
防火牆：一條規則一列，各自帶著動作、通訊協定（tcp、udp、web 或 any）、主機或 CIDR、
連接埠，以及 web 時的 HTTP 方法清單。規則由上往下比對，第一個命中的獲勝，而
Unmatched traffic 是一個雙向開關。把它設成 Deny，加上這次委託的主機，Bavisi 說的範圍問題
就變成了一個封包過濾器。透明攔截預設開啟，所以就算客體把 HTTPS_PROXY 取消，也不會改變哪些
連線可以出去。每一次放行與每一次拒絕都會落進 Security Log。
伸手可及的憑證並不是憑證。 真值從來不會進到虛擬機裡。代理伺服器在線路上把佔位符換成真正
的權杖，客體裡的 kubeconfig 是帶著拋棄式用戶端憑證的合成品，AWS 則拿到一個
credential_process 輔助程式，它交給 SDK 一組四十個字元的假密鑰，而主機端用真正的金鑰材料
重新簽出 SigV4。任何繞過代理伺服器的東西，都會從 Amazon 拿回 InvalidSignatureException。
每一份憑證還帶著 Off、Block destructive 或 Read-only 的寫入政策，在主機代理裡強制執行，被入侵
的代理無法跟它爭辯：一次沒有理由去刪 S3 儲存桶的驗證執行，真的動手時會硬吃一個 403。
Require approval to use 把一份憑證變成一個同意提示，並給出五分鐘、一小時或本次工作剩餘時間
的限時授權。這很適合紅隊行動中的 SSH 金鑰：你希望簽章真的發生，也希望知道它發生過。
那份你本來就得寫的紀錄
紅隊工作會產生文書。你碰了什麼、什麼時候、用哪個身分、回來的是什麼。Bromure 把其中大部分當 成副作用寫下來。Security Timeline 視窗維護一張按時間排序的表，涵蓋每一次憑證替換與簽章、 每一次套件判定、每一次防火牆放行與拒絕，以及每一次注入偵測，全部保存在 Mac 上，虛擬機裡沒有 任何東西能編輯它。把工作階段的追蹤層級調高，代理伺服器連內容主體也會保留，並以 AES-GCM 加密， 用的是跟你設定檔祕密相同的鑰匙圈金鑰。
在兩次委託之間，儲存層是可以拆開的。Erase home… 把設定檔的 /home/ubuntu 重設回複製完成
時的狀態，順帶帶走那些複本、酬載、shell 歷史和掃描器快取。Reset to base… 丟掉你用
sudo apt install 裝的一切，並重新複製工作區的系統磁碟。上一個目標留下的殘渣，不會跟著你到
下一個目標。
給這份能力一個落地的地方
Anthropic 的分階段開放，是一個艱難決定的負責版本。交給防禦方成果而不是模型，正是那種能把 前沿能力送到修補醫院與公用事業的人手上、又不會同時送給所有人的形狀，而修補程式上的人工核准 那一步並不是裝飾。Armadin 與 TENEX.ai 是透過一層有監督安全模型的控制層執行這次委託的，另一 頭還有真正的 SOC 在看。這個星期新聞裡的每一方，表現都很好。
這一切沒有覆蓋到的，是筆電。所有那些謹慎，在一項發現變成一個檔案的那一刻就結束了，而那個 檔案落到的是一台通用機器，從 IT 發下來那天起就一直在收集憑證。Joyce 說得對：你反正都會被 紅隊打。攻擊性代理存不存在，不是你能挑的。你能挑的是它在哪一台機器上醒來，而且你可以挑一台 用完就扔的。
資料來源：Anthropic，「Bringing the cybersecurity capabilities of Claude Mythos 5 to more defenders」（2026 年 8 月 21 日） · The Register，「If you're not using AI to attack your own systems, your adversaries will」（2026 年 8 月 22 日） · Armadin 與 TENEX.ai，「Largest Controlled Live AI Cyberattack on Record」（2026 年 8 月 3 日） · SecurityWeek，「Kevin Mandia's Armadin Launches With $189.9 Million in Funding」