Cloudflare测试Anthropic Claude Mythos：AI漏洞挖掘产出跃升90倍，安全边界重划
内容摘要
核心要点
Cloudflare公开披露了使用Anthropic的最新模型Claude Mythos Preview（代号Project Glasswing）对其自有代码库进行安全审计的结果。核心发现是，该模型在识别高危漏洞（如API密钥硬编码、未授权访问路径）方面，产出了90倍于传统基于规则审计工具的可利用漏洞报告。关键差异在于，模型不仅标记漏洞，还能生成复现步骤（PoC）和上下文证据，将安全分析师验证漏洞的时间从小时级压缩到分钟级。
Cloudflare构建了一个专门的开发执行平台（harness）来管理整个流程，包括调查范围界定、并行执行、结果去重、验证闭环和自动化报告生成。这标志着AI在安全领域的应用从被动防御（如SIEM告警分类、恶意软件检测） 正式跃迁至主动的、生成式的漏洞发现。该技术路径直接挑战了传统DAST/SAST工具和人工渗透测试的效率和覆盖度。然而，文本也承认了当前局限：模型输出的幻觉率和防滥用控制仍是关键瓶颈，需要严格的沙箱和输出过滤机制。
重要性说明
表面上是AI辅助安全测试的效率提升，本质上是一场安全控制点的转移。Cloudflare此举的真正战略意图，是利用Claude Mythos的生成式能力，将安全审计从依赖第三方专业服务或开源工具的分散模式，转变为由其云平台（Cloudflare Workers/边缘网络） 集中管控的内置服务。这是在防守并合围传统DAST/SAST厂商（如Synopsys、Checkmarx）以及人工渗透测试服务商。
其隐性锁定在于：一旦企业将漏洞发现流程深度绑定到Cloudflare的harness和其边缘网络执行环境，未来对代码库的审计将难以迁移，因为复现步骤、上下文证据和历史数据都沉淀在Cloudflare的生态中。
故意隐瞒的工程短板：对于大规模、微服务架构的现代应用（如Kubernetes集群中的服务网格），AI模型在处理分布式事务的竞态条件和多服务间的复杂权限继承链时，其幻觉率会显著上升，可能导致大量误报（FP），反而增加安全团队的噪音负担。此外，模型输出的PoC代码本身可能包含安全风险，若未经严格沙箱执行，可能在生产环境触发意外故障。该技术在处理0-day漏洞的通用性上仍存疑，模型更多是复现已知模式（如OWASP Top 10），而非发现全新的攻击面。
PRO 决策建议
【厂商】竞争对手（如CrowdStrike、Palo Alto Networks、Wiz）：应迅速推出或强化自身的AI原生漏洞挖掘引擎，并强调跨云、跨代码仓库的通用性，以对抗Cloudflare的边缘锁定。重点攻击Cloudflare方案的幻觉率和误报率，通过第三方独立基准测试（如MITRE ATT&CK评估）证明自身模型在处理复杂微服务架构时的低误报优势和可解释性。
【企业】CIO与安全架构师：对Cloudflare的AI漏洞发现服务保持零信任审计。要求供应商提供模型输出的误报率、漏报率的量化指标，并验证其能否处理自定义内部框架和遗留系统。必须评估将PoC代码在隔离沙箱中执行的机制，防止自动化工具引入新风险。警惕单一供应商锁定，优先选择支持开放式API和标准化输出格式（如SARIF） 的平台，确保数据可移植性。
【投资者】：看穿Cloudflare的公关辞令，其核心价值不在于“90倍效率”，而在于构建云安全审计的护城河。关注Anthropic的Claude Mythos系列模型在企业级安全场景的落地能力，但需警惕模型成本和输出可靠性对商业化的制约。对传统SAST/DAST厂商（如Checkmarx）持谨慎态度，其商业模式正面临AI原生产品的颠覆性威胁。
觉得这篇分析有用？
每周收到3-5条AI基础设施关键信号 →
💬 评论 (0)