合作背景
Anthropic 与 Mozilla 的安全合作在 2026 年 3 月已登记为官方公告，但具体进展直到 Firefox 150 发布才公开。Mozilla Firefox CTO Bobby Holley 在 Mozilla 安全博客上写下了这次合作的技术细节和个人感受，这也是 Claude Mythos Preview 的首次公开技术案例。
271 个漏洞
Claude Mythos Preview 是 Anthropic 尚未正式发布的前沿模型的早期版本。Mozilla 将其应用于 Firefox 代码库审计，结果在 Firefox 150 版本中修复了 271 个安全漏洞。
这个数字的意义需要参照系：根据 Mozilla 历史发布记录，Firefox 单个版本修复漏洞数通常在个位数到数十个之间，271 是大约一个量级的跳跃。从发现到修复，整个过程在单次评估周期内完成，而非分散在数年的常规安全工程工作中。
不是 Fuzzing，是代码推理
传统安全工具（fuzzing、静态分析器）依赖运行时崩溃或规则匹配来找漏洞，这套方法几十年来已被充分优化，但有天花板：规则匹配找不到新类型漏洞，fuzzing 找不到需要理解业务逻辑才能发现的漏洞。
Holley 强调，Claude Mythos Preview 的核心优势是代码推理能力——模型理解代码的意图、数据流、边界条件，方式与人类安全研究员相似。他的描述是：「我们还没见到任何人类无法发现的漏洞类别，但模型找到的每一类，顶级人类研究员也能找到。」换句话说，AI 并非在做人类做不到的事，而是以极低成本复现了顶级安全专家的工作方式。
攻防不对称性被打破
网络安全的基本困境是：攻击者只需找到一个漏洞，防守方必须堵住所有漏洞。这种不对称性让防守方长期处于被动位置——资源再充足，也无法穷举代码路径。
Holley 认为，AI 辅助安全审计正在改变这一格局。当防守方也能以接近穷举的方式扫描代码库，攻击者的信息优势（「我能找到你不知道的漏洞」）就开始侵蚀。他写道：「防守方终于有机会赢了，彻底地赢。」
这不是乐观主义修辞。他同时承认，工作量本身是真实的：「团队可能需要把其他一切放到一边，带着单一的、不间断的专注投入这项工作。」271 个漏洞需要 271 次修复、测试、验证——AI 找到的，人还是要修。
对安全工程工作方式的影响
这次案例的工程含义是：AI 安全审计不是替代安全工程师，而是改变了工作的分工结构。发现漏洞这件事变得廉价，修复、验证、上线变成主要成本。这对安全团队的配置意味着：需要的不再是更多的「找漏洞的人」，而是更快的「修-测-发布流水线」。
Mozilla 的案例也为其他大型开源项目提供了参考：代码库足够成熟、有专职安全工程师、且愿意公开披露合作结果。下一个问题是，当这套方法标准化之后，谁会率先将其应用到更广泛的基础设施组件上。