2026年4月15日
本文作者：拉菲·克里科里安先生是 Mozilla 的首席技术官。
上周，Anthropic公司宣布，其最新的人工智能模型Claude Mythos Preview将不会向公众发布。此前，该公司发现该模型能够发现并利用关键软件系统中数十年来未被发现的漏洞。作为一项名为“玻璃之翼”（Project Glasswing）的防御性网络安全计划的一部分，Anthropic公司将Mythos的使用权限以及价值1亿美元的额度提供给了包括亚马逊、苹果、微软、谷歌和摩根大通在内的50多家全球最大的企业。
甚至在官方宣布之前，公开可用的AI模型就已经开始发现常用软件中的安全漏洞。Anthropic公司的研究人员承认，其他实验室还需要6到18个月才能开发出类似的产品。这些功能及其对网络安全构成的威胁将会迅速扩散。从流媒体平台到网上银行服务，再到解答日常问题的搜索引擎，互联网的很大一部分都可能变得无法使用。
如果我们不谨慎果断地应对，那么数百万将从人工智能作为编程工具的进步中获益最多的人，也将是最容易受到攻击的人群。放任他们自生自灭，可能会侵蚀我们所知的互联网。
你可能已经熟悉“概念编码”的概念：利用人工智能工具将简单的语言描述转化为可运行的软件。一位店主描述她需要的库存系统，人工智能就能创建出来。一位牙医描述一个患者门户，人工智能就能交付。数百万从未想过自己会成为软件开发人员的人——小企业主、临床医生、非营利组织负责人——在没有任何培训的情况下，首次创建了软件。但这些应用程序通常未经安全审查。随着人工智能技术的进步，潜在的漏洞越来越容易被发现，这些漏洞可能导致他人访问客户数据、接管账户，甚至关闭整个应用程序。
几十年来，两种稀缺性保障了互联网的安全——或者说，至少是足够安全。编写软件很难，所以从事这项工作的人员都经过专业训练，谨慎小心，而且人数不多。发现漏洞也很难，所以最严重的缺陷往往被隐藏起来，有时甚至长达数十年。这并非一个完美的系统。但双方的这种困难反而促成了一种维持至今的缓和局面。
如今，得益于人工智能工具，人人都能编写代码。不久之后，不法分子也能利用这些工具来找出代码中的漏洞。缓和局面已经结束。
互联网的大部分都是由开源软件构建的。例如，你在线观看的大部分视频都是由 FFmpeg 悄悄传输的，FFmpeg 是一款免费的开源程序，由志愿者维护，其预算按任何企业标准来看都微不足道。OpenBSD 操作系统运行着防火墙和网关，保护敏感网络免受外部攻击，Anthropic 公司称之为“世界上安全性最高的操作系统之一”，而 OpenBSD 的运行依赖于捐赠。与大型公司在“玻璃之翼”项目中开发的专有软件不同，这些项目的存在是因为有人认为这项工作比报酬更重要。它们是由那些将数年时间奉献给代码的人们构建的，这些代码驱动着我们大多数人每天都在使用却不自知的产品。
据 Anthropic 公司称，Mythos 工具在 OpenBSD 中发现了一个存在了 27 年的漏洞，在 FFmpeg 中发现了一个存在了 16 年的漏洞，这两个漏洞都隐藏在一行代码中。Anthropic 公司表示，其他自动化安全工具曾忽略这些漏洞多达五百万次。（两家公司均表示已修复了已发现的问题。）就连我们公司开发的 Firefox 浏览器也未能幸免：Anthropic 公司之前使用 Mythos 工具对 Firefox 进行测试时，在数百次尝试中仅成功利用了两次已知的漏洞。而 Mythos 工具几乎每次都能成功。在所有这些项目以及更多项目中，该模型识别出了数千个代码漏洞。这些漏洞可能导致勒索软件瘫痪医院，导致网络攻击破坏关键基础设施，也可能导致外国情报机构入侵政府网络。
除了检测代码行中的问题，Mythos 还发现了维系互联网的非正式社会契约中的漏洞。长期以来，开发者们一直秉持着这样的共识：公开分享他们的工作成果，互相帮助修复漏洞，维护我们赖以生存的软件——并非为了报酬，而是因为这就是社区的运作方式。一位利用业余时间修补关键代码长达 20 年的资深程序员，与上周二凭直觉编写了她第一个应用程序的店主处境相同。他们都面临着风险。他们都没有安全团队。他们目前都无法访问 Mythos。
值得称赞的是，Anthropic是首批意识到应该放慢脚步的大型人工智能公司之一。该公司表示将向开源安全组织捐赠400万美元，这比业内任何其他公司都多。
然而，其背后的经济规律并未改变；世界上最有价值的软件基础设施仍然由无偿工作者维护，而那些依靠它积累巨额财富的公司却从未支付过维护费用。如今，一种强大的新能力已经出现——正如我们在科技领域反复看到的那样，拥有资源的组织可能会率先获得这种能力并学会保护自己，而其他组织则会因此变得脆弱不堪。
一位程序员，花了二十年时间维护运行在数十亿人使用的产品中的代码？他目前还无法使用 Mythos。他应该可以使用。负责维护开源基础设施的组织知道这些维护者是谁，也知道如何联系他们，并且随时准备提供帮助。这是一个可以解决的问题，而且名单很短。但店主的情况不同。她不需要 Mythos 或任何功能同样强大的工具来抵御网络攻击，她只需要确信自己使用的工具从一开始就是为了保护她而设计的。
所以，让我们改变默认设置。所有在其产品中使用开源代码的公司——这几乎涵盖了整个科技行业——都应该投资于维护这些代码的关键工作者。这不仅意味着资金投入，也意味着人工智能公司应该为我们赖以生存的项目贡献工程时间、安全专业知识和人员。除了 Anthropic 之外，其他开发 Mythos 等工具的人工智能公司也应该将这些工具交给这些工作者使用。所有受益于开源基础设施的人都需要像对待其他基础设施一样对待它：它和任何道路、桥梁或输电线路一样至关重要。
对于数百万首次开发软件的新开发者来说，我们需要让他们能够轻松安全地进行开发。将安全功能集成到他们已经使用的工具中。确保编写代码的人工智能也能保护代码本身。这不应该作为附加功能或高级功能，而应该作为默认设置。缓和时期已经结束。漏洞显而易见。开发者遍布各地。唯一的问题是，我们是否应该保护所有开发者——还是仅仅保护那些有能力保护自己的开发者。
Raffi Krikorian 是 Mozilla 的首席技术官。
本文的印刷版刊登于2026年4月16日《纽约时报》A版第19页，标题为《我们所知的互联网的终结》。
本文出处：https://www.nytimes.com/2026/04/15/opinion/mythos-open-souce-internet.html