不知你最近有没有发现一个奇怪的现象：
你手里的旧手机、家里几年前买的智能摄像头、甚至是公司的老打印机，明明没有坏，却开始频繁接到系统“停止维护”的通知；而新闻里，关于某个大企业遭遇黑客攻破、数据泄露的报道，频率似乎高得有些反常。
这绝非错觉。一场网络安全领域的“诸神黄昏”，正在悄然拉开序幕。
美国著名的理性主义讨论社区LessWrong上，网络安全专家 tchauvin 发表了一篇石破天惊的文章：《漏洞和攻击：我们将走向何方？》。文章揭示了一个极其残酷的现实：随着像 Mythos Preview、Project Glasswing 这样具备“网络战级别”能力的 AI 诞生，网络安全的攻防底层逻辑已经被彻底掀翻。
短期内，AI 的大爆发没有让世界更安全，反而将我们推向了一个长达两年的“极度脆弱期”（2026-2027年）。
今天，我们就彻底拆解这篇改变安全界认知的硬核报告，看看 AI 究竟是如何把网络世界搅得天翻地覆的，而作为普通人的我们，又将付出怎样的代价？
一、 “稀疏采样”的终结：黑客与白帽的旧农耕时代
要理解 AI 带来了多大冲击，我们得先看看以前的人类黑客（攻击者）和安全专家（防御者，俗称白帽子）是怎么玩这场“猫鼠游戏”的。
在 AI 介入之前，软件找漏洞的本质，用作者 tchauvin 的话来说，叫作“稀疏采样机制”（Sparse Sampling Mechanism）。
1. 什么是稀疏采样？
我们可以把一款软件（比如 Windows 系统、或者微信、支付宝）的全部代码，想象成一片无边无际的原始森林。在这片森林里，隐藏着无数的“树洞”，其中有一些树洞是致命的缺陷，黑客只要顺着树洞钻进去，就能控制整片森林。这在安全界被称为“零日漏洞”（0-Day）。
在过去，寻找漏洞是一项极其枯燥、耗费人力的“重体力活”：
人类的精力是稀疏的：代码量太庞大了，动辄几千万行。防守方（软件公司）雇佣了一批顶级专家去天天看代码，攻击者（黑客）也找了一批天才天天看代码。
低重叠率：因为森林太大，双方各看各的，就像在大海捞针。防守方检查了 A 区域，黑客可能在 Z 区域发现了一个树洞。
黑客的武器库：黑客手里的王牌，就是“我发现了，但你没发现”的漏洞。由于双方碰撞的概率极低，这种“稀疏性”天然对攻击者有利。
2. 旧时代的自动化工具为什么没用？
有人会问：人类看不过来，不是有机器吗？比如安全界著名的“模糊测试”（Fuzzing）技术。
模糊测试就像是用一柄机关枪，不停地对软件代码输入各种乱码，看它会不会崩溃，以此来找漏洞。谷歌的 OSS-Fuzz 项目就帮开源软件找出了无数漏洞。
但原文明确指出，模糊测试存在致命的三个短板：
1. 极其耗费人力：要给一个软件搭建模糊测试环境，需要人类专家配置大量参数，这导致全球绝大多数关键基础设施的代码，模糊测试覆盖率低得可怜。
2. 盲区巨大：网络协议类的漏洞、以及许多逻辑复杂的深层代码，模糊测试根本测不出来。
3. 公开透明：模糊测试通常是开源的，黑客会故意避开已经被测试过的区域，去那些没有被测试的代码深水区寻宝。
因此，在过去的几十年里，网络世界维持着一种奇妙的平衡：软件虽然浑身是补丁，但黑客精力也有限，大家都在“稀疏采样”，谁也做不到降维打击。
直到这个叫Mythos Preview的 AI 怪物睁开了双眼。
二、 密集采样：AI 开启了“降维打击”
如果说以前找漏洞像是在黑夜里用手电筒找针，那么当下的前沿 AI 模型（如 Mythos Preview，以及 Project Glasswing），直接在代码森林的上空升起了一轮烈日。
它把漏洞发现，推向了“密集采样模式”（Dense Sampling Mode）。
1. 它是如何做到的？
AI 不需要像人类那样一页页读代码，也不需要像模糊测试那样瞎猫碰死耗子。AI 具备了大规模逻辑推理与语义理解的能力。
你丢给它一个包含百万行代码的庞大项目，它能在极短时间内“通读”并理解所有的调用逻辑。
原文中提到了一个极为震撼的数据：
“我估计 Mythos Preview 可能发现了被审查代码库中 70-80% 的严重漏洞。这意味着未来的任何模型都不可能发现像 Mythos 那样多的潜在漏洞。”
这是一个什么概念？这相当于 AI 一出手，就把这片代码森林里过去几十年积攒下来的、人类没发现的“低垂生果”（Easily Hanging Fruit）——那些显而易见的、严重的漏洞，一口气扫荡了近八成！
2. 为什么漏洞这么好找？
很多人对黑客有误解，觉得找漏洞需要极其玄妙的魔法。但正如论文《eyeballvul》的研究结果所揭示的那样：
“严重的漏洞往往是表面性的。”
比如常见的 SQL 注入、内存损坏、或是著名的 OWASP Top 10（十大最常见 Web 漏洞）。这些漏洞之所以存在，不是因为它们隐藏得多深，纯粹是因为人类程序员在写代码时疏忽了。而只要 AI 顺着代码看过去，就像语文老师改错别字一样，一抓一个准。
从长远来看，这绝对是防御者的福音。如果我们在软件发布之前，让 AI 把这 80% 的漏洞全部挑出来修好，那么未来的软件将坚不可摧。
但请注意，作者在这里浇了一盆冰天雪地里的冷水：在抵达这个美好的终点之前，我们要先熬过一段长达两年的黑夜。
三、 阵痛的 2026-2027：生态系统的“血色黄昏”
为什么 AI 找漏洞厉害了，我们反而更危险了？
这涉及到一个反直觉的行业残酷真相：潜在漏洞（Vulnerability）变成安全的补丁（Patch），中间存在着巨大的、鸿沟般的延时。
1. 补丁是防守方的“底牌逆向”
在网络安全世界里，一旦软件公司发布了一个补丁，告诉大家：“我们修复了一个漏洞。”
这无异于向全世界的黑客发了一份“漏洞说明书”。
顶级的黑客或者 AI 可以在几分钟内，对这个补丁进行逆向工程，从而精准反推出这个漏洞怎么利用。这时候，压力就全传导给了最终用户：谁更新补丁慢，谁就是黑客眼里的待宰羔羊。
2. 无法更新的“现代僵尸”
我们设想一下，当 AI 以每天几千个的速度疯狂倾泻潜在漏洞，各大软件公司也疯狂发布补丁时，世界会变成什么样？
普通用户根本应付不过来。更糟糕的是，在这个世界上，有海量的系统是根本无法更新的：
关键基础设施与物联网设备：工业流水线上的控制电脑、医院的核磁共振设备、满大街的智能摄像头、水厂的阀门控制系统。这些设备很多运行着十年前的旧系统，原厂家早就倒闭了，或者由于系统太脆弱，根本不敢重启更新。
高昂的更新成本：任何经历过 IT 运维的人都知道，每一次大范围的系统升级，都是一次“渡劫”。2024 年著名的CrowdStrike 蓝屏事件还历历在目——仅仅是一个安全软件的错误更新，就让全球航空、银行、医疗系统彻底瘫痪。为了防止瘫痪，很多企业的网管宁愿“只要系统能跑，就绝不更新”。
当 AI 把漏洞发现从“稀疏”变成“密集”，那些没有能力、没有资金、没有时间更新补丁的老旧系统、物联网设备，将在 2026 和 2027 年彻底暴露在聚光灯下，变成毫无防备的活靶子。
四、 17倍暴击！AI编写武器库的全面工业化
如果说 AI 找漏洞只是给黑客“画了一张藏宝图”，那么 AI 在漏洞利用开发（Exploit Development）上的突破，则是直接给黑客发了“核武器批量生产线”。
原文在这里将黑客的行为分为了两种：
| 攻击类型 | 定义 | AI 的影响 |
| 漏洞利用开发 (离线) | 给定已知漏洞，编写出能实现攻击的代码（PoC原型） | 实现跨越式飞跃。让“可利用漏洞”与“已激活漏洞”的界限彻底消失。 |
| 直接键盘入侵 (在线) | 实时侵入受害者网络环境的动态攻击行为 | 诞生大量廉价、高智能的AI 攻击特工（AI Agent），实现无差别降维打击。 |
1. 4000对240：被抹平的门槛
在 2025 年之前，发现漏洞和能真正利用漏洞去搞破坏，是两码事。编写一个稳定的攻击程序（PoC）需要极高的技术。
数据说话：2025 年全球被评为“严重”级别的漏洞大概有4000 个。但是美国网络安全和基础设施安全局（CISA）在其已知被黑客利用的漏洞目录（KEV）中，只增加了大约240 个。
为什么？因为人类黑客的精力和时间也是有限的！这 4000 个严重漏洞里，他们只来得及把其中 240 个做出武器化的攻击程序。剩下的 3700 多个漏洞，虽然严重，但因为黑客“忙不过来”，暂时是安全的。
但这相当于 17 倍的差距！
而到了 2026 年，以Mythos Preview为代表的模型实现了工业化生成漏洞利用程序的能力。
这意味着什么？只要 AI 发现一个严重漏洞，它就能在几秒钟内顺手把这个漏洞的“武器化攻击程序”一起写出来。那 17 倍的缓冲地带，在一夜之间被 AI 彻底抹平了。所有的严重漏洞，一经发现，立刻就具备了毁伤力。
2. 狼群战术：当 AI 黑客变成“狂暴代理
更让人不寒而栗的是“在线入侵”的自动化。
以前，小公司、小餐馆、学校或者个人的电脑，虽然防守稀烂，但往往很安全。因为大黑客瞧不上你这点资产，觉得花几天时间黑进你的网络“性价比太低”。
这叫“防御不够，身价来凑”——因为你太穷，黑客懒得理你。
但现在，廉价且功能强大的AI 恶意软件（AI Agents inside Malware）诞生了。
黑客不需要亲自盯着屏幕敲键盘了，他们把 AI 塞进恶意软件里，像放蝗虫一样放出去。
这些 AI 恶意软件非常“聪明”，它们能根据不同受害者的电脑配置自动调整攻击策略（应对用户配置的多样性）。
它们极其有耐心，会伪装成你熟悉的朋友，用完全符合你语气的定制化邮件、微信消息来诱骗你（社会工程学高阶玩法）。
它们让攻击成本降到了几乎为零。
过去因为“黑客成本太高”而幸免于难的中低价值目标（普通人、小微企业），现在将面临成千上万个 24 小时不知疲倦、技术高超的“AI 虚拟黑客”的无差别扫荡。
五、 我们该如何在这场“诸神黄昏”中自救？
面对 tchauvin 揭示的这个充满坎坷的 2026-2027 年过渡期，无论是企业还是个人，过去那种“因循守旧”的安全观念必须被彻底砸碎。
在这场 AI 掀起的风暴中，我们必须学会以下几点自救法则：
1. 企业篇：告别“打补丁焦虑”，拥抱“主动纵深”
别再盲目堆砌漏洞数量：AI 时代漏洞会呈指数级爆发，靠人工去一个个核对、修补几万个 CVE 漏洞是不可能的。企业必须利用 AI 工具（如前文提到的利用 AI 生成 PoC 来反向验证）来给漏洞的危险程度排序，抓大放小。
隔离老旧资产：既然很多物联网设备和老系统无法更新，那就不要让他们暴露在公网上。用严密的物理隔离、内网零信任架构（Zero Trust），把这些“现代僵尸”保护在安全屋里。
严防“AI 钓鱼”：员工培训要升级。现在的钓鱼邮件不再是错漏百出的翻译腔，而是 AI 模拟你老板语气写的季度总结。涉及资金、权限的变动，必须引入多渠道的“肉身确认”。
2. 个人篇：降低暴露面，保持钝感力
断舍离：家里那些好几年不更新固件的智能摄像头、老旧路由器，能换就换。如果还在用，尽量关闭它们的“远程公网访问”功能。
开启自动更新：只要设备支持自动更新（如手机、电脑系统），毫不犹豫地开启。在 AI 时代，和黑客拼的就是谁在补丁发布的当晚走得更快。
重要资产冷存储：核心的密码、珍贵的照片、重要的资产凭证，不要过分依赖各种来路不明的云盘。适当使用物理 U 盘、移动硬盘进行离线备份，也就是所谓的“冷存储”。
长夜终将过去，但请先带好你的伞
网络安全的本质，是关于“劳动力”的经济学。
AI 极大地释放了寻找漏洞和制造武器的劳动力，这让进攻方在短期内获得了巨大的、甚至有些作弊的优势。这是技术大爆炸时期必然经历的生态阵痛。
但正如原文作者在结尾所持有的那份谨慎的乐观一样：随着 AI 逐渐融入软件开发生命周期的最前端，新写的代码在出厂时就会被 AI 荡涤干净，漏洞的绝对数量终究会走向枯竭。从长远来看，这场战争的终点，依然是安全与防御的胜利。
只是，在这段通往终点的艰难旅途中，2026 到 2027 的夜路会有些黑，雨会有些大。请锁好你的数字门窗，收起你的侥幸心理。在这场 AI 时代的攻防大潮里，做一个清醒的、武装到牙齿的现代数字公民。
Mythos的网络能力是否被过分夸大了？汇总所有关于 Mythos Preview 网络能力的公开证据
https://epoch.ai/gradient-updates/are-mythos-cyber-capabilities-overhyped
漏洞与攻击：我们走向何方？
https://www.lesswrong.com/posts/huh4bvwzeKTLxw6hS/vulnerabilities-and-exploits-where-are-we-headed
40万网站一夜裸奔！WordPress大厂遭黑客“抄底”：为什么连你的2FA双重验证码都被偷了？
细思极恐！你戴的智能眼镜，可能正连着美国军工级“换脸”天眼…
BugHunter 深度评测与实战：2026 AI 驱动的自动化漏洞捕猎工具包
终结“PPT安全时代”：FBI真实城镇动能网络靶场
游戏在左，战争在右：当你转身捕捉宝可梦时，谁在盯着你的摄像头？
2026 终极攻防变局：深度拆解 MITRE ATT&CK ER8 企业安全评估路线图与微观技术实战
一万亿的数字代价：AI时代，企业如何完成“向死而生”的终极救赎？