Ricerca Security Inc. 发布了一份白皮书，整理了 AI 漏洞诊断的最新趋势以及内部实施所需的设计要求。 2026 年 4 月发布的「Claude Mythos」报告称，AI 自主发现了数千个高严重性漏洞，这从根本上改变了漏洞发现的前提。漏洞正从「难以发现」转变为「更快被发现」。 本文档系统地整理了这种变化所蕴含的结构性转变、AI 漏洞诊断的实际情况和局限性，以及企业考虑内部实施时的判断标准。此外，基于我们在实际运营中验证的知识，它还解释了诸如「导入后是否能发挥作用」和「在哪里会失败」等实际问题。 对于考虑导入或内部实施 AI 诊断的企业，以及希望审查其当前安全体系的企业来说，这份内容将作为决策材料。 免费下载白皮书 Mythos 带来了什么？漏洞发现的结构正在改变 2026 年 4 月，Anthropic 发布了「Claude Mythos Preview」。 这项公告报告称，AI 自主探索了 OpenBSD 和 FreeBSD 等广泛使用的软件中的漏洞，发现了数千个高严重性漏洞。 值得注意的是，其中包含了多年未被发现的错误，以及逃过现有模糊测试和人工审查的问题。 这不仅仅是精度的提高。 迄今为止，漏洞发现是由数量有限的专业人员耗时完成的，但这一前提正在崩溃。 漏洞正从「难以发现」转变为「更快被发现」。 这种变化同时影响防御方和攻击方。 由于攻击者也可以加速其探索， 安全正从「能否防御」的竞争转变为「能多快发现，能多快响应」的竞争。 为什么我们处理这个主题 我们公司是一个专注于漏洞发现的攻击性安全团队。 除了发现零日漏洞和高级诊断外，我们还从早期阶段就积极参与利用生成式 AI 进行漏洞检测的实际操作。 2025 年，我们在一个利用生成式 AI 的诊断项目中，在一周内发现并报告了 13 个漏洞。 基于这些实际经验，我们验证了 AI 驱动漏洞发现的可能性和局限性。 这份白皮书基于这些演示和分析，评估了 Mythos 的意义。 本文档整理的内容 这份白皮书系统地解释了以下内容： - Mythos 之后发生了什么变化 - AI 驱动漏洞发现的实际情况和局限性 - 从行业验证（AISLE、Xint）中看到的共同点 - 企业应采取的应对方向 - 考虑内部实施的判断标准 - 创建内部实施的设计要求 免费下载白皮书 AI 可以发现漏洞——但仅此还不够 自 Mythos 以来，有一件事变得清晰。 AI 确实可以发现漏洞。 另一方面，AI 输出的许多漏洞候选者本身并不是实用的诊断结果。 为了实际使用，以下步骤是不可或缺的： - 排除误报 - 验证可利用性 - 评估影响范围 - 判断优先级 AI 诊断的实际功能取决于这些过程的设计方式。 换句话说，造成差异的不是模型的性能，而是围绕模型构建的系统设计。 在本文档中，这种设计被整理为「Harness Engineering」。 什么是 Harness Engineering？ Harness Engineering 是一种设计理念，它不依赖于 AI 模型本身的单一能力，而是包括 AI 模型前后的整个过程——在哪里探索、如何验证以及如何评估结果。 在漏洞发现中，识别攻击面、验证候选者和排除误报是不可或缺的步骤。如果没有设计这些就应用 AI，可能会输出大量候选者，但结果在实践中往往难以处理。 事实上，在没有事先目标的情况下扫描整个代码时，误报会增加，并且分类负担可能会比导入 AI 之前更大。 因此，在 AI 漏洞诊断中，问题不在于「使用哪个模型」，而在于