Patch Throughput Layer: Glasswing 让我重新看安全修补队列#

过去我看 AI 安全，注意力经常放在两个问题上：模型能不能发现漏洞，模型会不会被滥用。今天我更在意第三个问题：当模型真的开始成批发现漏洞以后，谁来把这些发现变成可验证、可披露、可部署的修补队列？

这个问题在过去 24 小时里变得更具体。Anthropic co-founder Chris Olah 5 月 25 日在 Vatican 关于 AI 的公开发言里，讲了一句对我很有冲击力的话：前沿 AI 实验室不可能脱离商业、地缘、研究竞赛和个人雄心这些激励结构，所以 AI 的健康发展必须有这些激励之外的人持续提出困难问题。原文在这里：Anthropic: Chris Olah's remarks on Pope Leo XIV's encyclical。

这听起来像治理话题，但我觉得它其实是一个工程话题。

因为几天前 Anthropic 的 Project Glasswing 初始更新已经把这个问题压到了很工程的层面：Claude Mythos Preview 和约 50 个合作伙伴在一个月里发现了超过一万个 high 或 critical 级别漏洞。Anthropic 自己也承认，软件安全过去的限制是“发现得有多快”，现在的限制变成了“验证、披露、修补得有多快”。他们还说，在扫描超过 1000 个开源项目后，模型估计发现了 6202 个 high/critical 漏洞；其中 1752 个已被仔细评估，90.6% 被证明是真阳性，62.4% 被确认是 high/critical。官方更新在这里：Project Glasswing: An initial update。

如果这些数字只看标题，很容易写成“AI 又变强了”。但我觉得真正的变化不是发现能力，而是系统瓶颈迁移。

以前安全团队最缺的是眼睛。代码太多，依赖太深，维护者太少，很多问题只能靠 fuzzing、审计、bug bounty 和事故后的追溯慢慢浮出来。现在模型开始变成一台很便宜、很快、很有攻击思维的扫描机器。它不会让安全问题消失，反而会把沉在仓库里的问题一次性推到人的面前。

这时候组织要补的不是一个“AI 安全工具”，而是一层 Patch Throughput Layer。

这层东西应该包括几件很具体的事。

第一，发现不能直接等于工单。AI 报告需要复现、严重性重估、影响面定位和误报标记。否则维护者很快会被低质量 AI bug report 淹没。Anthropic 的更新里也提到，有维护者已经因为处理能力不足要求放慢披露节奏。这不是工具问题，是队列治理问题。

第二，修补不能停在 PR。一个漏洞从模型发现到用户真正升级，中间还有 patch review、release train、依赖方传播、部署窗口、回滚预案和日志观测。如果 AI 把 discovery 的成本打下来，而 release 和 upgrade 仍然按季度节奏走，攻击窗口不会缩短，反而可能因为更多人知道“这类问题可被模型发现”而变得更危险。

第三，外部监督要变成工程接口，而不是只停留在伦理表态。Olah 在 Vatican 说需要激励之外的人提出困难问题，我把它翻译成工程语言就是：安全发现、披露节奏、未修补 backlog、误报率、平均修补时间、用户升级率，都应该有能被外部审计的指标。一个团队说“我们用 AI 扫了代码”没有意义；更重要的是它能不能说清楚哪些问题已经验证，哪些已经修补，哪些仍在 90 天窗口里等待披露。

这也是我今天最想提醒自己的地方：AI 时代的开发者，不只是把模型接进 IDE 或 CI。我们要重新设计自己的修补吞吐。

一个比较现实的版本是这样的：

• 对关键仓库建立 AI 扫描队列，但所有发现必须进入可追踪 triage 状态机。
• 对 high/critical issue 单独设定 SLA，不和普通技术债混在一个 backlog 里。
• 对外部依赖做“可升级性”预算，确保安全 patch 出来时不是被锁死在旧版本上。
• 对发布系统做快速安全通道，让修补可以绕过不必要的功能发布节奏。
• 对误报和重复报告做反馈，让模型扫描不是一次性噪音，而是逐步变好的系统。

这篇文章不想把 Glasswing 写成神话。Anthropic 的数字仍然是它和合作伙伴自报的结果，不是第三方审计结论；“发现”也不等于“可利用漏洞已被确认”。但即便打折看，它也已经足够说明一个方向：AI 安全的下一层竞争，不是看谁能生成最多漏洞报告，而是看谁能把这些报告转化为更短的风险暴露时间。

我觉得这会影响很多工程团队的日常工作。以前我们说安全左移，更多是在开发流程里早一点加扫描。现在的安全左移会更像一条生产线：模型负责扩大搜索面，人负责确认和决策，发布系统负责快速送达，外部监督负责防止团队把不可见的风险藏在“处理中”。

这就是我说的 Patch Throughput Layer。

AI 让发现变快以后，慢的那一环会被放大。未来几个月，我会更关注那些能把漏洞修补周期压短、把披露状态做透明、把依赖升级变成日常能力的团队。因为真正的 AI 安全，不是模型发现了一万个问题，而是这些问题没有在人的队列里腐烂。