Claude Mythos 一轮扫描发现 271 个 Firefox 零日漏洞，AI 安全进入防御加速期

2026 年 4 月，Mozilla 发布 Firefox 150，一次性修复了 271 个由 Anthropic Claude Mythos Preview 识别的安全缺陷。这是 Firefox 历史上单次版本中安全修复数量最多的一次，标志着 AI 在系统化漏洞发现中的能力进入实用阶段。

根据 Mozilla 官方博文的说明，自 2026 年 2 月起，Firefox 安全团队与 Anthropic 持续协作。前期使用 Claude Opus 4.6 对近 6,000 个 C++ 文件进行扫描，在 Firefox 148 中确认 22 个安全相关问题，其中 14 个属于高严重级别，占 2025 年全年高严重级别 Firefox 修复的近五分之一。引入 Claude Mythos Preview 后，安全发现数量显著放大，本次 Firefox 150 的 271 个缺陷均为该模型在单次评估中发现并最终确认的。

多家安全媒体（如 Cyber Security News、GBHackers、IT Security News、eWEEK 等）均报道称，Claude Mythos 在 Firefox JavaScript Shell 等场景下对已识别漏洞的成功利用比例较高，且整体能力与顶级安全研究员相当。The Next Web 报道指出，271 是离散代码缺陷的汇总计数，在官方安全公告中部分被合并为少量 CVE（包含常规内存安全汇总）；Ars Technica 与 Help Net Security 的文章均强调，Anthropic 目前未公开发布 Mythos，并提示其若被不当使用可能带来的风险。

从安全研运的角度看，这一协作的要点在于：AI 能够在大型代码库中进行持续、系统化的挖掘，为防御方争取时间窗口。The Register 等媒体报道称，相关方认为这类模型并不会发现人类无法理解的新攻击类别，但能显著提升“提前发现”与“批量修复”的效率。对行业而言，更值得关注的趋势是：当具备自动化漏洞发现能力的 AI 被限定在受控环境中用于防御，组织有望建立更主动的漏洞治理流程，而不是仅依赖外部的补丁周期。

从更广的视角看，Claude Mythos 与 Firefox 的合作是 AI 安全“向防御倾斜”的一个样本。随着模型与安全工作流的结合深化，未来可能会出现更多类似的“受控扫描与快速响应”实践，对开发者与安全团队都是一个新的阶段。

关键要点（基于已公开信息）：

• 271 个零日漏洞：来自 Claude Mythos Preview 的单次评估，于 Firefox 150 中完成修复。
• 协作时间线：自 2026 年 2 月起，Firefox 团队与 Anthropic 持续合作；先期 Opus 4.6 在 Firefox 148 中发现 22 个问题。
• 模型定位：Anthropic 将 Mythos 定位为前沿模型，采取受限投放，避免公开释放带来的滥用风险。
• 效果评估：权威媒体和 Mozilla 的公开信息均表明，该模型在缺陷发现密度与范围上达到与顶级安全研究员可比的水平，但并未创造人类无法理解的全新攻击类别。