加密货币交易所Kraken的母公司Payward于8月17日加入Anthropic的Project Glasswing项目，并获得对Claude Mythos 5模型的受限访问权限，用于防御性网络安全工作。Payward计划在未来几周内扫描所有内部软件环境，寻找安全漏洞，并承诺将经过验证的第三方漏洞结果分享给相关开源项目维护者。
Project Glasswing与Mythos 5的准入限制
Anthropic于2026年4月启动Project Glasswing，向选定的基础设施提供商和软件维护者提供其最强的网络安全模型。初始参与者包括亚马逊云服务、苹果、思科、CrowdStrike、谷歌、摩根大通、微软、英伟达、Palo Alto Networks和Linux基金会。此后扩展至约150个组织，覆盖15个以上国家。Anthropic表示，参与组织必须满足安全要求才能获得访问权限。Mythos 5并未广泛开放，因其识别漏洞的能力同样可用于生成可用的攻击代码。此前，美国政府在解除临时出口限制后，恢复了对经过审查的美国组织的Mythos 5访问。Payward表示，其访问权限是在美国政府决定允许Mythos 5接触运营和防御关键基础设施的组织后获得的。
Mythos 5的防御与攻击双重风险
Anthropic将Claude Mythos 5描述为在网络安全和生物学研究方面能力最强的模型。它能够检查代码、识别弱点、建议补丁，并协助经批准的研究人员测试攻击路径。Project Glasswing早期的Mythos Preview版本据报已在广泛使用的软件中发现了超过1万个高危或严重级别的漏洞。截至5月22日，Anthropic的协调披露仪表板显示，在281个开源项目中报告了1596个漏洞。其中，经过外部安全公司审查的1900个候选漏洞中，真实阳性率为90.8%。但Anthropic指出，独立人工分类仍然是瓶颈环节——仪表板更新时，仅有97个已在上游修复，88个获得了公共咨询标识。该模型还能创建攻击组件并将其组合成攻击链，Anthropic以此解释为何Mythos 5仍仅限于经批准的合作伙伴使用。
Payward的扫描计划与披露规则
Payward联合首席执行官Arjun Sethi表示，AI能够以机器规模像攻击者一样读取每一行代码，从而在任何人构建利用工具之前发现缺陷。Payward尚未公布Mythos 5在其系统中发现的有效漏洞数量。该公司表示，发现的开源代码漏洞将发送给相关项目维护者，但未公布协调披露政策，包括维护者修复漏洞的时限、哪些发现可能会公开披露，以及如何处理不响应的项目。此前，Kraken曾因安全研究争议与CertiK发生公开分歧，这凸显了明确的测试和披露规则的重要性。
未来展望
Payward计划在未来几周内开始扫描其环境。下一步可验证的更新将包括确认的漏洞、完成的补丁或与受影响开源项目协调的公开披露。该公司未公布性能目标、扫描频率或是否会在新代码部署前进行审查。Anthropic要求Mythos 5客户接受30天的数据保留用于安全监控。Payward尚未说明将提交哪些代码或系统信息、如何分离敏感数据，以及客户信息是否在扫描范围之外。目前，已确认的进展是Payward加入Project Glasswing并计划使用Claude Mythos 5，该模型能否提升其安全性将取决于发现的质量、人工验证以及后续补丁的速度。