Firefox 150 本週發運，修復了 271 個 zero-day 漏洞，均由 Anthropic 的 Claude Mythos Preview 透過 Project Glasswing 合作發現。Firefox CTO Bobby Holley 就這次發運接受採訪時，稱 Mythos「與世界最頂級安全研究員同級別」。這是相對 Mozilla 3 月披露的一次實質性升級：當時 Claude Opus 4.6 找到 112 個 bug 與 22 個安全 CVE（14 個高危），並在 Firefox 148 中修復。

271 對比 112 的跳躍，對應 Anthropic 在 Mythos 紅隊報告中公布的能力差。在 Firefox 147 的 JavaScript exploit 開發任務上，Opus 4.6 在數百次嘗試中做出 2 個可用 exploit；Mythos 在同一任務上做出 181 個，成功率大約是前者的 90 倍。換算到生產側，這恰是 Mozilla 規模下在單一代際躍遷中把 zero-day 發現數字翻倍有餘的原因。271 個漏洞都已在 Firefox 150 修復，這也是 Mozilla 能公開這個數字的原因。Holley 的表述強調，AI 工具現在能夠「覆蓋全部會導致漏洞的錯誤空間」，這改變了「發運堅固軟體」這件事的含義。

有兩點被這條消息夯實。其一，Anthropic 的能力數字——也就是 Sam Altman 本週早些時候所稱的「恐懼行銷」——現在有了直接的生產級對沖：一家真正的瀏覽器的真正 CTO，說真正的模型找到了 271 個真正的零日漏洞，全部在面向數億使用者發運的版本裡被修復。我在 Altman 那篇裡標出的「實證檢驗」走得比十二個月快多了。其二，早先 Opus 4.6 合作裡 Mozilla 鼓勵批次提交的模式，在 Mythos 級吞吐下明顯在放量。工作流（模型發現，人類核驗，發運）在 271 的數量級上仍然成立。

如果你維護著一個瀏覽器級或作業系統級的 C/C++ 程式碼庫，這次發運帶來的實務問題不是「AI 能否在我程式碼裡找到漏洞」，而是「我的供應鏈裡的防禦者是否擁有 Mythos 級存取權限，如果沒有，什麼時候會有」。Project Glasswing 的四十家合作組織現在可以把 Firefox 150 作為「一個經核驗、具備預覽存取權限的防禦者能做到什麼」的具體案例研究。這種不對稱暫時傾向於擁有存取權限的防禦者。如果你不在名單上，追趕視窗取決於等同能力要多久才能到達 Anthropic 的公開層或某家中國開放權重實驗室。在 exploit 開發上 90 倍的倍率，是你應當按此假設的數字，而不是寄望於不會發生。