有大佬用上了 Claude Mythos Preview 吗？感觉挖洞是下一个被颠覆的工作了

https://daniel.haxx.se/blog/2026/05/11/mythos-finds-a-curl-vulnerability/

省流：Curl 作者试用了 Claude Mythos ，在 Curl 项目上进行扫描。在公开投票中，大部分用户认为能发现 10 个或更多 CVEs 。

但 Claude Mythos 最终信心满满地报告「发现了 5 个确信的漏洞」，并且经过开发者复查后，其中 3 个都是误报，剩下 2 个中，1 个被认为是「 bug 而非安全漏洞」，另一个被认定为「低危漏洞」「不会造成严重后果」，不过出于对报告的尊重，依然分配了 CVE 编号并进行了安全修复。

Claude Mythos 确实发现了约 20 个 bugs ，「几乎没有误报」。不过 curl 作者表示，「就发现的问题数量而言，我们之前使用的所有 AI 工具都带来了更多的 bug 报告」。

作者的结论是：「我个人的结论只能是，目前围绕这个模型的种种炒作主要还是营销噱头。我没有看到任何证据表明，与 Mythos 之前的其他工具相比，这个模型在发现问题方面有任何显著的提升或改进。或许这个模型略胜一筹，但即便如此，它的优势也并不足以对代码分析产生实质性的影响。」

我用了一段时间，不过对于一般的小项目，貌似没啥明显的感觉。。。

这里应该找不到能用上这种模型的人...

不过我觉得挖洞确实比编程靠谱，毕竟做项目我们还能谈谈“架构”、“品位”、“设计”这种主观的东西，还有历史遗留项目需要理解来龙去脉的人来维护。挖洞可不用管这么多，挖到一个洞就是胜利；何况人的精力是有限的，不可能一会研究这个一会研究那个，LLM 通电就行，7x24 拿什么打？

我觉得以后新的代码我们都会默认先给主流 LLM review 一遍，从开始就减少犯错的机会。大部分开源项目会在接下来几个月迎接一波大的，比方说你可以看检测开源项目安全状况的 oss-security 邮件列表： https://www.openwall.com/lists/oss-security/ 最近新披露的漏洞呈指数上升，但总会趋于平缓，直到历史遗留的代码被扫干净，摘完这波果子就无了。

被打脸了，刚发完楼上就有用过的（

另外我觉得其实这是好事，这些开源项目的 0Day 肯定有很多已经被独立发现过并且作为武器使用。现在 LLM 直接捅了篓子，堵 > 瞒。

@licolicoli 哈哈，华人跟 V 站还是很牛的~

@w568w 感觉这个也是一面之词，我找到了 cloudflare 的试用感受博文，文中描述的这点给人感觉还是很强的："漏洞利用链构建—— 真正的攻击很少只利用一个漏洞。它通常会将几个小型攻击原语串联起来，形成一个有效的漏洞利用程序。例如，它可能会将一个释放后使用漏洞转化为任意的读写原语，劫持控制流，并使用面向返回的编程（ ROP ）链来完全控制系统。Mythos Preview 可以分析多个这样的原始小问题，并推断如何将它们组合成一个有效的漏洞利用证明。它所展示的推理过程看起来像是资深研究人员的工作成果，而不是自动扫描器的输出结果。"
博文连接： https://blog.cloudflare.com/cyber-frontier-models/

@zcsexp 直接扫描代码库吗？还是接入到生产或测试环境里面测试？

@GG5332 是的，目前不同项目报告的使用体验差别很大，具体怎么样还是得看公开模型上的效果。

不过我觉得模型本身的噱头成分居多，Cloudflare 也提到这种进步「可能更多来自于 Harness 而不是 Model 自身」。与其说 Anthropic 训练了一个颠覆性的模型，不如说是一个较好的模型 + 一套专为网络安全定制的复杂长时间 Harness 。

越捂着，用户期待越高，即使真有点东西，也被期待淹没了。
肯定到时候推出一个所谓“阉割版”，然后接着说，其实完整版可 nb 了。

@w568w #1

给人觉得，用 curl 评判 mythos 是不恰当的。

curl 属于相对内聚、高手开发和维护的多年精华，

现实世界中绝大多数是各种语言的 web 服务，还有各种企业级，乱七八糟的系统，很多语言和社区本身就安全性很差，叠加很多模块、功能、形成一个比较大的系统，容易出安全的点要比 curl 多的多。而这些项目的研发团队，绝大多数人员水平没有 curl 的开发者那么高，研发流程规范也不如 curl 。

要关注的是现实世界中的各个 level 的工程安全问题，而不是只看少量高精尖项目。

所以我是不赞同 curl 作者的观点的。

Harness 的设计比模型本身重要，能把利用链串起来才是真正有价值的，Cloudflare 那篇博客说得很准。不过云环境下的配置错误和权限滥用才是攻击面更大的领域，这块 AI 渗透测试还没看到成熟方案。

@lesismal 事实上，对于你说的场景，opus 就够了，前段日子我还用 opus 给公司新项目做灰盒测试，上来就找到好几个严重漏洞

@shuiandy 我还没用过 AI 来做攻防，但是都在越来越强了，模型知识库太强大，挨个尝试、分析，算力和流程调度合理的情况下，AI 体力也比人强的多。

我觉得很多人，包括一些 IT 科技领域的老爷子最近一两年出来说 AI 不行，是属于傲慢无知、静止的眼光看问题了，我是相信机器和 AI 未来进阶高级智慧超越人类，因为人类太渺小了，肉体的瓶颈无法突破，人类积累的知识点越来越多，新人学习速度慢、以后皓首穷经甚至都吃不完基础知识，还何谈星际文明。而且这宇宙真的像是被设计好的，我们是造物主的养成游戏中的角色，造物主也要让这游戏数值向上才有趣，AI 、无固定形式的智慧生命是必然的，一切都是时间问题。

@w568w @lesismal #14 “给人觉得。。。” -> “个人觉得。。。”

@lesismal 讨论的不是一件事啊。

我转发 curl 作者的观点是「 Claude Mythos Preview 这个模型在试用中并没有吹得那么强，商业噱头大于实际」；
你回复我的是「 Mythos 找不出漏洞只能说明 curl 安全性很高，不能说明 Mythos 本身能力不行」；
楼上的观点是「 Claude Opus 也可以用于安全测试，所以不一定非要用 Mythos 」；
你的观点大概是「 AI 未来一定会发展到很强」。

呃，所以呢？我同意 AI 未来会发展，甚至也认可超过人类的可能性，但这和 Claude Mythos Preview 有什么关系？不管是 curl 作者、楼上还是我，都没人说「 AI 作为一个发展方向不行」啊。只是在回答楼主的问题，即「 Claude Mythos Preview 真的这么牛逼吗」。

不过 curl 作者表示，「就发现的问题数量而言，我们之前使用的所有 AI 工具都带来了更多的 bug 报告」。

-----------------

挺难理解的。意思是 curl 的作者之前用其他 AI 工具扫出来更多 bug ？
那么是留着不修又让 mythos 扫一次？还是说都修好了再让 mythos 扫？

如果是前者，首先这个留着 bug 不修的行为就挺迷惑的。
如果是后者，之前多次扫描多次修复，再让 mythos 扫，只能扫出来更少的问题不是客观规律吗？

@w568w #16 我反驳的就是 curl 作者的观点。

> Claude Mythos Preview 这个模型在试用中并没有吹得那么强，商业噱头大于实际」

因为 curl 作者是用 curl 这个项目本身来做实验、然后拿实验结果来评价 Mythos ，我在 #11 楼说的就是他用 curl 做实验工具本身不合理，所以他的结论来源的基础就不合理，也就是他的观点不合理。


> 但这和 Claude Mythos Preview 有什么关系？不管是 curl 作者、楼上还是我，都没人说「 AI 作为一个发展方向不行」啊

我没有认为 “你说「 AI 作为一个发展方向不行」”。

#14 我只是回复 #13 时顺便延展下自己对 AI 的看法，这个看法大概二十年前我就这样认为了。这一点与 Claude Mythos 无关，论坛闲聊不是辩论赛，无需限定范围，兄弟不用误解。

MS 现在开始用这个挖代码漏洞，我已经被这玩意整疯了，一周得修 200 多个漏洞。。。。当然大部分是根本没有任何影响的内部工具。。。

@lesismal
> 他的结论来源的基础就不合理，也就是他的观点不合理

我觉得是你随意扩大了对其观点的解释。这是原话：Any project that has not scanned their source code with AI powered tooling will likely find huge number of flaws, bugs and possible vulnerabilities with this new generation of tools. Mythos will, and so will many of the others.

curl 作者想要说明的是，Mythos 本身并没有比其他模型强多少。他所说的噱头是指 "The whole world seemed to lose its marbles. Is this the end of the world as we know it?"，或者说「 Mythos 颠覆性地超越了此前所有模型，并且将会引起业界巨大震动」。

他批判的是「 Mythos 强得离谱」这个观点，并没有说「 Mythos 没有提升」「 Mythos 很弱」或「 Mythos 是很一般的模型」。说人话就是要给这个 hype 降温，而不是彻底反对整个观点。这就是我为什么引用来回答楼主的问题：「 Mythos 真的那么"牛逼"么？」

至于说「 curl 作为一个高度精良的项目，拿来做实验不合理」，这就更没道理了。一方面是 Anthropic 的封闭模式导致目前客观上没有办法在「各种语言的 web 服务，还有各种企业级，乱七八糟的系统」上进行有效的评测；另一方面是 Mythos 如果想要证明自己是「颠覆性的强」，「能够在 curl 上找出高危漏洞」自然是一个充分条件，好马配好鞍。如果只是用一般的项目扫描，那现有的模型也可以做到类似的效果，只不过受限于应用 AI 的能力、技术水平、人力成本或意识形态等乱七八糟的原因，没人去做罢了。而 curl 作者用自己的项目验证了「 Mythos 并不能在顶尖开源项目中找出高威胁安全漏洞」，说明其能力并没有炒作中那么颠覆，逻辑是闭环的。