AI 漏洞挖掘能力飞跃：Firefox 修复量同比激增 12 倍
今年 4 月，Anthropic 推出新模型 Mythos 时，向整个软件行业发出严厉警告：该模型在发现软件漏洞方面能力惊人，已在正式发布前挖出数千个高危 bug，亟需修复。
Mozilla 随即披露了将这一能力付诸实践的细节。
Mythos 挖出的漏洞：有些已潜伏 15 年
Mozilla 在 5 月中旬发表的文章透露，Mythos 在 Firefox 代码库中发现了大量高危漏洞，其中包括一些已静默存在 超过十年 的老旧缺陷。
一组对比数据尤为直观：2026 年 4 月，Firefox 交付了 423 个 bug 修复；一年前的同一月份，这个数字仅为 31 个——同比增长约 12 倍。
研究团队写道：
"这种变化之剧烈，难以用言语形容。短短几个月内，模型能力大幅跃升，我们驾驭模型的技术也同步精进。"
Mozilla 还公开了其中 12 个漏洞的详细报告，涵盖沙盒（sandbox）安全机制中的异常漏洞，以及一个存在 15 年 的 HTML 解析错误。
AI 从"报告泛滥"到"精准输出"
此前，AI 漏洞挖掘工具的局限性显而易见：安全团队常被大量低质量报告淹没，误报率居高不下。Mozilla 表示，最新一代工具已跨越这道门槛，尤其是具备自主评估与二次过滤能力的 智能体（Agentic）系统，显著减少了噪音。
"这类工具现在确实非常好用了，" Mozilla 杰出工程师 Brian Grinstead 接受 TechCrunch 采访时说，"我们内部扫描、外部漏洞报告、行业各类信号都印证了这一点。"
沙盒漏洞：AI 正在突破人类难以企及的领域
沙盒是浏览器抵御恶意代码的最后一层防线，因此沙盒漏洞的发现难度极高：模型需先构造一个被篡改的补丁，再以该补丁实施攻击，验证最核心安全层是否可被突破。整个过程需要创造性与严密性的双重配合。
这类漏洞在 Mozilla 漏洞赏金计划 中对应最高奖励：每例最高 2 万美元。但 Grinstead 指出，Mythos 发现的沙盒漏洞数量已超过人类研究人员的历史水平。
"我们确实会收到一些，" 他说，"但远不及这项技术帮我们找到的数量。"
人类仍主导修复环节
即便 AI 生成补丁的能力已相当成熟，Firefox 团队目前仍不依赖 AI 直接修复漏洞。Mythos 会被要求为每个漏洞编写补丁代码，但产出的代码通常无法直接部署，更多是作为人类工程师的参考模板。
"我们讨论的这些漏洞，每一个都是：一名工程师写补丁，另一名工程师审核&查验，" Grinstead 强调，"我们认为现阶段还无法实现自动化。"
安全天平会向哪边倾斜？
Mythos 曝光一个月后，绝大多数漏洞可能尚未修复，完整影响范围尚难评估。Anthropic 遵循负责任的漏洞披露规范，但恶意行为者很可能也在私下使用类似技术——尽管其所用模型的成熟度未必达到同一水准。
Anthropic CEO Dario Amodei 在近期活动上表达乐观：
"如果处理得当，我们或许会处于比起点更好的位置，因为我们修复了所有这些漏洞。漏洞总数是有限的。"
Grinstead 的看法更为审慎：
"它对攻击者和防御者都有用，但让工具唾手可得，确实会把优势稍微向防御方倾斜。现实是：目前还没有人知道确切答案。"
评论