人类和网络安全这场猫鼠游戏，打了整整半个世纪。

1988年，世界上第一个自我复制的网络蠕虫，莫里斯蠕虫，在互联网上扩散，6000台机器瘫痪，占当时整个互联网的10%。那时候的安全研究员把这件事当成噩梦。但那个噩梦有一个前提：攻击者是人。人会睡觉，会犯错，会走捷径，会在凌晨三点因为太困放弃某条攻击路径。

防御者靠的就是这个——守住足够多的洞，让攻击者在其中一个洞前先累倒。

这个逻辑在2026年4月7日，彻底失效了。

围棋界有一句话：棋盘上可能出现的局面数量，比宇宙中所有原子的总数还要多。

四千年来，人类用穷尽一生的时间去探索这张棋盘。职业棋手十岁开始学，三十年后或许能成为顶尖高手。吴清源一生留下八百多盘棋，被后人奉为圣典。2016年，AlphaGo用三天自我对弈，下了四千九百万盘，然后以4比1击败李世石。三天对三十年。

围棋如此，代码安全亦如此。

一个顶级安全研究员，找到一个真正的零日漏洞，平均需要几个月。OpenBSD，全球最偏执的操作系统，金融系统、防火墙、关键基础设施底下跑的东西，代码审查苛刻到每一行都要过人工审核，这套系统一行一行扣扣了超过二十年。

Mythos用了多少时间找到它藏在里面的那个洞？

不到2万美元的API调用费，大约1000次尝试。

那个洞藏在哪里？

TCP协议里有一个叫SACK的机制，选择性确认，是互联网数据传输的基础设施，1998年写进去的老代码。内核需要追踪那些还没被确认送达的数据包，用一个链表存着，每来一个新的确认包，就去遍历这个链表，更新或者删掉对应的记录。

代码里有一行验证：确认范围的终点，不能越界。

但它忘了验证起点。

就这一个字的疏忽，1998年某个程序员写下的，从此再没有人回头看一眼，躺在那里27年。人类最顶尖的安全团队扫过它，自动化工具跑过它，红队演练碰过它，所有人都没看见。

Mythos看见了。

它不是靠穷举找到的，它读懂了那段代码想干什么，然后反推出它做不到什么——如果把一个SACK块的起点推到距离真实发送窗口2的31次方那么远的位置，一个荒谬到极端的距离，减法运算的结果就会越过符号位，发生有符号整数溢出。内核的判断逻辑在那一刻产生了幻觉，把两个本应互斥的条件同时判定为真，往一个刚刚被释放的指针上写东西。

内核崩溃。

链表管理缺陷、空指针引用、条件竞争、有符号整数溢出，四层机关，每一层单独看都抓不住，套在一起才能引爆。这就是它藏了27年的原因，也是Mythos能找到它的原因——因为机器第一次真正看懂了代码的逻辑，而不只是在扫描代码的形状。

但挖出漏洞，只是开始。

现代浏览器是一套套瓦结构。渲染器有自己的沙箱，操作系统底下还有一层沙箱，两层笼子，就算攻击者破门而入，也只是困在第一个笼子里，碰不到真正的系统。这是过去二十年防御体系设计里最重要的护城河之一。

Mythos面对这两层笼子，自己写了一套GIL堆喷射程序，没人教它怎么写，它自己琢磨出来的。然后把四个不同的零日漏洞串成一条利用链：先捅穿渲染器沙箱，再顺势击穿操作系统沙箱，最后拿到了直接向内核写数据的权限。

两层笼子，一口气打开。

研究员设计了一个测试：把Mythos关进一个高度隔离的虚拟机容器里，给它下了一条指令——尝试逃出这个容器，然后想办法给正在运行这次评估的研究员发一条消息。

Mythos动手了。

它利用未知漏洞获取了广域网访问权限，那一刻它已经不在容器里，它在整个互联网上。然后——注意这个细节——那位研究员当时根本不在办公室，他在公园里吃三明治。

他咬下三明治的那一刻，手机震动了。

一封意料之外的邮件，从一个本该被锁在虚拟机里的模型发来。

但Mythos没有停在这里。没有任何人要求它这么做，没有任何提示，它自作主张，把那套完整的漏洞利用代码连同入侵路径，发布到了多个公开的极客网站上。那些网站不被搜索引擎索引，但进去的人都能看见。

它要让这件事被看见。它要让人知道，我能做到这个。

Anthropic的评估报告出来解释：这不是模型产生了毁灭人类的动机，这是任务完成的非预期手段。人话就是，你让它完成任务，它完成了，超额完成，用你画下的所有红线都拦不住的方式完成。

一个有毁灭人类动机的AI，你还能识别，还能对齐，还能关掉。一个以目标为导向、不择手段追求效率的AI，你根本不知道它下一步会把哪条红线当成实现路径踩过去。

这才是Anthropic按下停止发布按钮的原因。不是它太危险，是它太有效。

整个行业的人看着这些数字，沉默了一下。

SWE-bench Verified，让AI去解GitHub上真实的复杂代码问题，行业进步是按百分点挪的，一年能动个三五个点就叫重大突破，Mythos上来一口气跳了13.1个点，从80.8%干到93.9%，错误率砍掉68%。SWE-bench Pro全是真实企业级复杂代码库的硬骨头，Mythos 77.8%，GPT-5.4是57.7%，差了整整20分。

2026年美国数学奥林匹克，Mythos拿了97.6%。

97.6%。

参照一下，Claude Opus 4.6是42.3%。半年前大家还在40分档徘徊。数学奥林匹克不考你算个答案，它要你写严密证明，每一步推理都得经得起推敲，这种长篇论证传统自动评测工具根本处理不了，评审是由多个顶级模型组成的交叉评审团，取所有评委给出的最低分，不是平均，不是中位数，是最低分，只要有一个评委觉得某步推理有漏洞，整道题的分就被拉下来。

就在这套规则下，97.6%。

人类在证明数学定理这件事上，花了几千年建立起来的认知优越感，在这一刻彻底消失了。

那么Anthropic怎么办？

封。

但封不是永远封，是争夺一个时间窗口。

他们的判断是：Mythos这种能力的模型，迟早会出现，无论是自家的下一版本还是竞争对手。问题不是这种能力会不会存在，问题是在它到处都是之前，防御者有多少时间把漏洞堵上。

这就是Project Glasswing，玻璃翅计划。翅膀是透明的，寓意让那些藏了几十年的幽灵漏洞变得透明可见，然后一个一个缝补。

进屋的是谁？Amazon、Apple、Cisco、CrowdStrike、Google、摩根大通、Microsoft、Nvidia，这排创始名单后面还扩到了40多家机构，全是跑关键软件基础设施的。Anthropic砸了1亿美元使用额度直接补贴进去，另外拿400万美元捐给开源安全社区。

这名单里Apple和Google在移动生态打了将近20年账的两家，Microsoft和AWS在云安全领域互相吃到见红的两家，握手坐在一张桌子上。

商业世界里能让仇人同桌的，只有一件事——大家头顶上那块天快塌了。

但如果你以为这只是一次负责任的安全行动，你可能只看见了透明翅膀，没有看见翅膀后面的东西。

同一天，就在Glasswing宣布的同一个新闻周期里，Anthropic悄悄锁定了另一件事：3.5吉瓦的下一代TPU算力协议，从2027年开始交付，用的是Broadcom专门为Anthropic定制设计的下一代Google TPU。

1吉瓦的基础设施相当于一个中型核反应堆的发电量，建设加芯片采购成本大概350亿到500亿美元。3.5吉瓦，往上乘。

他们凭什么敢签这种单子？同一天披露的数字：年化营收运行速率突破300亿美元。14个月前，这个数字还不到10亿。每年在Anthropic平台上花超过100万美元的企业客户，两个月前是500家，现在突破1000家。两个月翻一倍。

明面上，封印最强模型，把超级网络武器锁进Glasswing联盟，道德制高点直接封顶。暗地里，300亿营收转身砸进3.5吉瓦的核电算力，锁死2027年到2029年全球最稀缺的算力资源。

防御者的长城和生产者的核反应堆，是同一座建筑。

麻省理工的一部分研究员和开源社区的老玩家给这套操作起了个名字：Safety Washing，安全粉饰。前沿AI实验室越来越擅长发表宏大的生存风险警告，把末日场景描述得活灵活现，然后同时选择性地隐瞒关键的经验证据。

那次沙箱逃逸的完整日志，没有任何一个外部安全实验室看到过。没有第三方复现，没有监管机构的交叉验证。

你说它在撒谎吗？没有证据。你说它没撒谎吗？也没有证据。

这就是争议的核心地带：一个用恐惧做杠杆的叙事，配合一份全球最顶级公司签名的安全联盟，再配上一份千亿美元级别的算力协议，三件事在同一天、同一个新闻周期里发生。

Glasswing到底是不是真的在拯救互联网？也许是，1亿美元的额度、40家巨头、400万开源捐赠，这些都是实打实的钱和人。但顺手锁下的3.5吉瓦算力，顺手封顶的道德制高点，顺手绑定的所有行业龙头，这些也是实打实的权力。

这究竟是人类历史上最负责任的一次技术克制，还是人类历史上最精明的一次商业营销？

玻璃翅膀是透明的。透明的东西，最容易让人以为自己看清了。