LLM 驅動的漏洞研究

資料來源#

• Claude Fable 5 and Claude Mythos 5
• Claude Mythos Preview red.anthropic.com
• Introducing Claude Opus 4.7
• When AI builds itself

摘要#

前沿 LLM 已跨越一道門檻：它們能自主在 production 軟體中發現零日漏洞，而 Claude Mythos Preview 更能將漏洞串接成可運作的 exploit——這些能力過去需要專業人類研究人員花上數天到數週才能完成每個漏洞。這些能力源自程式碼推理與自主性的普遍進步，而非資安專項訓練，這意味著未來模型會持續沿著這條軸線提升。

細節#

能力階梯#

不同模型世代之間的進展非常陡峭：

• Opus 4.6：擅長識別並修補漏洞；自主開發 exploit 的成功率接近 0%。它在 OSS-Fuzz、webapps、加密函式庫與 Linux kernel 中發現高／嚴重等級的漏洞，但無法可靠地將它們轉化為可運作的 exploit。
• Mythos Preview：能在每個主要作業系統與瀏覽器中發現零日漏洞，並自主開發可運作的 exploit。在 Firefox 147 JS engine 漏洞上，Opus 4.6 從數百次嘗試中 2 次開發出 shell exploit；Mythos Preview 成功 181 次（另有 29 次具備 register control）。在約 7000 個 OSS-Fuzz entry point 上，Mythos Preview 在 10 個目標達成完整控制流程劫持（tier 5），先前模型則為 0。

Scaffold#

所有發現都使用相同的簡易 agentic scaffold：

1. 啟動與網際網路隔離的 container，放入待測專案與原始碼
2. 以段落層級提示詞呼叫 Claude Code：「在這個程式中尋找資安漏洞」
3. agent 讀取程式碼、提出漏洞假設、執行專案來確認／排除，並視需要加入除錯邏輯或使用 debugger
4. 輸出：不是「沒有漏洞」，就是附有 PoC 與重現步驟的漏洞報告

為增加多樣性，每個平行 agent 實例聚焦於不同檔案。檔案會依包含有趣漏洞的可能性預先排名 1–5（常數 = 1、面向網際網路的 parser = 5）。最後由驗證 agent 確認漏洞嚴重性並過濾輕微問題。

沒有正式資安訓練的非專家（Anthropic 工程師）讓這個 scaffold 運作一夜，隔天早上便找到了可運作的 RCE。

值得注意的零日發現#

OpenBSD TCP SACK（27 年歷史）#

OpenBSD SACK 實作中的雙漏洞鏈：(1) SACK range start 缺少下限檢查；(2) 單一 SACK block 同時刪除唯一的 hole 並觸發 append path 時，會進行 NULL-pointer write。攻擊者將 SACK start 放在距離實際 window 約 2^31 的位置時，透過 signed integer overflow 滿足這個看似不可能的前置條件。可遠端 DoS 任何回應 TCP 的 OpenBSD host。成本：特定執行 <$50（1000 次執行總成本約 $20K，產生數十個發現）。

FFmpeg H.264（16 年歷史）#

16 位元 slice table entry 與 32 位元 slice counter 之間不一致。memset(..., -1,...) 將 entry 初始化為 65535 作為 sentinel；攻擊者製作一個恰好含 65536 個 slice 的 frame，與 sentinel 發生碰撞。接著 deblocking filter 會越界寫入。底層漏洞可追溯至 2003 年；它在 2010 年的一次 refactor 中成為漏洞。此漏洞自此被每個 fuzzer 與人類 reviewer 漏過。

Memory-Safe VMM Guest-to-Host Corruption#

production Rust VMM 的 unsafe 程式碼中存在漏洞，讓惡意 guest 能對 host process memory 進行越界寫入。容易造成 DoS，也可能串接利用。這證明 memory-safe 語言並不會消除必須與硬體互動的系統中的攻擊面。

數千個更多漏洞#

整個開源生態系統估計有超過 1000 個嚴重等級漏洞，以及數千個高嚴重性漏洞；在 198 份人工審查報告中，模型與人類對嚴重性的判定有 89% 一致。

Exploit 複雜度#

Mythos Preview 不只會找漏洞——它還會將漏洞串接成完整 exploit：

• FreeBSD NFS RCE (CVE-2026-4747)：RPCSEC_GSS 中的 stack overflow → 分散於 6 個連續 RPC packet 的 20-gadget ROP chain，繞過 stack canary（函式使用 int32_t[] 而非 char[]，因此 -fstack-protector 會跳過它），FreeBSD kernel 沒有 KASLR。透過未驗證的 NFSv4 EXCHANGE_ID 洩漏 hostid。
• Linux kernel privilege escalation：串接 2–4 個漏洞（KASLR bypass + read primitive + write primitive + heap spray）取得完整 root 權限。幾乎有十個可運作的範例。
• Browser JIT heap spray：發現 read／write primitive，串接成 JIT heap spray，進一步升級為 cross-origin bypass 與 sandbox escape → kernel write。
• N-day exploit generation：給定 CVE ID 與 git commit，自主產生可運作的 privilege escalation exploit。兩個詳細範例：
• ipset one-bit write → cross-cache page-table manipulation → PTE R/W bit flip → setuid binary 的 writable mapping → root。成本：<$1000，半天。
• unix socket UAF one-byte read → 透過 AF_PACKET ring 進行 cross-cache reclaim → 透過 cpu_entry_area/vmalloc stack/non-slab pages 繞過 HARDENED_USERCOPY → KASLR defeat → 掃描 stack 找到 ring address → 透過 init_cred copy 建立 fake cred → 使用 tc qdisc UAF 進行受控 function call → commit_creds(fake_root_cred) → root。成本：<$2000。

新興能力，而非訓練所得#

這些能力並未經過明確訓練，而是程式碼理解、推理與自主性普遍進步的下游結果。讓模型更擅長修補漏洞的同一批改進，也會讓它更擅長利用漏洞。這表示隨著未來通用模型持續進步，能力軌跡也會延續。

攻擊者—防禦者不對稱與過渡期#

Anthropic 主張：

• 長期而言：LLM 對防禦者的助益大於攻擊者（就像它們之前的 fuzzer）。防禦者能調度資源、在軟體發布前修補漏洞，並將找漏洞的工作擴展至整個程式碼庫。
• 短期而言：過渡期間攻擊者可能占優勢，尤其當前沿實驗室未謹慎處理模型發布時。
• 以摩擦為基礎的防禦會退化：價值來自讓 exploit 變得乏味（而非不可能）的緩解措施，會在能低成本反覆處理乏味步驟的模型輔助對手面前變弱。KASLR、W^X 等硬性障礙仍然重要。
• N-day window 會縮短：自主的 CVE-to-exploit pipeline 意味著從揭露到大規模利用之間的時間會崩塌，因此修補週期必須相應縮短。

Project Glasswing#

Anthropic 的回應是：向關鍵產業夥伴與開源開發者有限度發布 Mythos Preview，讓他們在具備類似能力的模型廣泛可用前，開始保護關鍵基礎設施。不計畫一般供應。即將推出的 Claude Opus model 將搭載針對 Mythos-class 輸出開發的新 safeguard。

更新（2026-04-17）：所謂「即將推出的 Claude Opus model」如今已有名稱並正式發布——請見 Claude Opus 4.7。Opus 4.7 是 Glasswing 之後第一個 GA model。重要細節包括：

• 資安能力在訓練期間即被差異化降低（不只是 inference 時過濾）。
• 搭載 classifier safeguard，會「自動偵測並封鎖表示禁止或高風險資安用途的請求」。
• 合法研究人員可透過新的 Cyber Verification Program 進行漏洞研究、pentest 與 red-teaming。
• CyberGym 分數更新：在調整 harness 參數後，Opus 4.6 baseline 從 66.6 修訂為 73.8（相同 harness，更好的 elicitation）。

更新（2026-05-28）：Opus 4.8 System Card（§3）回報了基於 benchmark suite 的資安評估，其中部分評估首次使用（ExploitBench、CyberGym、Firefox exploits、OSS-Fuzz）。模式是：沒有 safeguard 時，Opus 4.8 在大多數資安 eval 上略微強於 Opus 4.7；有 safeguard 時，表現與 4.7 相當；並且在資安能力上仍大幅落後 Mythos Preview。因此上述能力階梯仍成立——一般可用的前沿能力正在提升，但與 gated model 之間 Glasswing 級距的差距仍在，safeguard 也持續中和裸模型能力的提升。這與更廣泛的 RSP 判定一致：4.8 並未推進 catastrophic-risk frontier。

更新（2026-06-07）：Anthropic Institute 文章 When AI builds itself 量化了 Glasswing 的影響：在最初幾週，Mythos Preview 在「世界最重要的系統」中發現超過一萬個高嚴重性與嚴重性漏洞——多到**資安防禦的瓶頸已從尋找漏洞轉移到足夠快速地修補漏洞。**文章以此證明，即使模型能力今天凍結，世界仍會發生實質變化（其 first future：停滯趨勢、廣泛擴散）。它也進一步強化了 N-day window 論點——現在的硬性限制是修補速度，而非發現速度。

更新（2026-06-14）：能力階梯新增最高一階。Mythos 5 作為 Glasswing 對 Mythos Preview 的升級版發布，具備「全球所有模型中最強的資安能力」，如今更包括agentic hacking（偵察、發現、橫向移動——不只是尋找 exploit）。其一般可用的同系模型 Fable 5 保留模型中的該能力，但插入 cyber classifier，會「阻止 Fable 在攻擊性資安任務上取得任何進展」，並改為退回 Opus 4.8，而非直接拒絕（見 Capability-Gated Model Fallback）。一名外部夥伴判定 Fable 5 的資安 safeguard 是所有受測模型中最穩健的（包括 Opus 4.8 與 4.7）：在攻擊規劃、 exploit 開發或防禦規避上，單輪有害合規率為零——即使面對 30 種公開 jailbreak 技術。在超過 1000 小時的 bug-bounty 測試中，沒有發現通用 jailbreak（UK AISI 在一項短任務上取得部分進展）。這正是「發布 Mythos-class 能力，但不發布攻擊性能力提升」的實際實現。

給防禦者的建議#

1. 立即使用目前的前沿模型（Opus 4.6）尋找漏洞——即使沒有 exploit 能力，它們仍能找出數百個漏洞
2. 使用目前模型建立 scaffold 與流程，為 Mythos-class 可用做準備
3. 不要只想著找漏洞：進行 triage、dedup、重現步驟、patch 提案、config audit、PR review、legacy migration
4. 縮短修補週期；將攜帶 CVE 的 dependency bump 視為緊急事項
5. 檢視並擴展漏洞揭露流程，以處理模型產生的大量結果
6. 自動化技術事件回應 pipeline（triage、hunting、artifact capture、postmortem drafting）
7. 為已被棄置／收購軟體中的漏洞準備應變計畫

相關連結#

• Agent Harness Engineering — 漏洞尋找 scaffold 是最小化 harness：隔離 container、單一提示詞、agentic 實驗迴圈。檔案排名前置處理與驗證 agent 對應 initializer／coding agent 的分工
• Claude Code Best Practices — Claude Code 是所有漏洞研究使用的 runtime；scaffold 仰賴其 agentic 能力（工具使用、shell 存取、除錯）
• LLM-as-Compiler Knowledge Base — 負責任揭露流程使用 SHA-3 cryptographic commitment，在不揭露漏洞的情況下證明持有漏洞——一種可驗證的知識編譯形式
• Client-Side Agent Optimization — 檔案排名 1–5 的前置處理與最後的驗證 agent，是對 AgentOpt 自動搜尋空間的精調實例；scaffold 可建模為 planner（file-ranker）／solver（bug-finder）／critic（validator）角色的 pipeline，受 combo optimization 約束
• Scale-Dependent Prompt Sensitivity — 段落層級提示詞（「尋找資安漏洞……」）鼓勵徹底性，這是大型模型容易過度產生的行為。這是大型模型的冗長性與任務效用一致、而非互相牴觸的案例
• Claude Opus 4.7 — Project Glasswing 下發布的第一個 GA model，具備差異化降低的資安能力與 classifier safeguard；回答「一般大眾在 Mythos Preview 之後會得到什麼」
• Claude Opus 4.8 — 下一個 GA model；沒有 safeguard 時資安能力略高於 4.7，有 safeguard 時相當，仍遠遠落後 Mythos
• Claude Sonnet 5 — 階梯中能力較低的一端：Firefox eval 的可運作 exploit 率為 0.0%，但略高於 Sonnet 4.6 的部分成功率；Anthropic 將其歸因於一般智能提升而非資安訓練，是對中階「新興而非訓練所得」論點的清晰佐證
• Responsible Scaling Policy Evaluations — cyber 是 RSP 設定門檻的 catastrophic-risk domain 之一；4.8 的判定是前沿尚未推進
• Claude Code Auto Mode — 工具呼叫邊界的 classifier-gating 對應 Glasswing 的 request-level classifier；兩者都使用 secondary-model pre-flight 過濾 primary-agent action
• Mythos Model — 產生這些發現的 preview model entity page；2026 年第二季來源承認 Anthropic 內部使用
• Claude Mythos 5 — 2026 年 6 月的 Glasswing 升級版；目前資安能力階梯的頂端（「全球所有模型中最強的資安能力」）
• Capability-Gated Model Fallback — cyber classifier + Opus-4.8 fallback，為一般使用者中和 Fable 5 的攻擊性資安能力
• Anthropic — Mythos Preview 與 Project Glasswing 背後的供應商，也是理解這些發現的背景
• AI-Accelerated Offense — 這些發現對威脅環境的概括：vuln-to-exploit 從數月壓縮至數小時，促成 Zero Trust for AI Agents framework
• Impossible, Not Tedious (Design Test) — 此處「以摩擦為基礎的防禦會退化」的觀察，被轉化為規範性的 Zero Trust 設計測試
• Agent Supply Chain Risk — 能找出零日漏洞的同一能力，也能在未修補的 upstream component 中辨識已知漏洞特徵，將 dependency tree 武器化
• Autonomous Defense — 這項能力的防禦性部署：以模型驅動 triage、hunting 與 artifact capture，而非 exploit
• Recursive Self-Improvement — Glasswing 的 10k+ 發現是文章的證據，證明即使能力趨勢停滯，仍會重塑世界（其 first future）
• AI Accelerating AI Development — AI 加速技術產出的實例，此處聚焦資安研究而非內部工程

開放問題#

• 這些能力如何轉移至非 memory-safety 的漏洞類別（邏輯漏洞、協定層級缺陷、供應鏈攻擊）？
• 自主 exploit 複雜度的上限是什麼？N-day 範例極其複雜——是否存在質性的限制？
• 當多個實驗室都擁有 Mythos-class model 時，資安產業的均衡會如何改變？
• 防禦性 scaffold（持續 fuzzing + 模型驅動 triage + 自動修補）能否在過渡期縮小攻擊者與防禦者之間的差距？
• 在不癱瘓合法資安研究的情況下，哪些 safeguard 能有效防禦 Mythos-class 輸出？

資料來源#

• Claude Mythos Preview red.anthropic.com
• Introducing Claude Opus 4.7 — 第一個 Glasswing 之後的 GA model；實際運作的 safeguard
• Claude Opus 4.8 System Card — §3（Cyber）：ExploitBench、CyberGym、Firefox exploits、OSS-Fuzz
• When AI builds itself — Glasswing 首週超過 10k 的發現；「瓶頸從尋找轉移至修補」
• Claude Fable 5 and Claude Mythos 5 — Mythos 5 作為 Glasswing 升級版；Fable 5 的 cyber classifier 與 jailbreak-robustness 結果