云计算与网络安全公司Cloudflare披露了其在自身基础设施中测试Anthropic预览版模型“Mitose”的结果。

Cloudflare是Anthropic“Glasswing”项目的参与方之一。该项目以受限方式向少数企业和机构开放Mitose。Cloudflare表示，公司已在50多个自有代码库中试用Mitose，并在官网披露了相关发现及其局限性。

Anthropic之所以仅通过Glasswing向少量对象开放Mitose，原因在于该模型在软件漏洞发现方面能力突出，存在被用于网络攻击的风险。

Cloudflare评价称，与此前的通用前沿模型相比，Mitose并非“简单改进”，而是“能力层级不同的工具”。

Cloudflare重点提到Mitose的两项能力。其一，是能够串联攻击链。

Cloudflare指出，现实中的攻击通常不会只依赖单一漏洞，而是把多个看似零散的攻击要素连接起来，形成可执行的利用链。Mitose能够完成这类组合，并生成用于验证现实攻击可行性的代码。

Cloudflare称，Mitose的推理方式更接近资深安全研究员，而不是自动化扫描器。

另一项关键能力，是完成漏洞可利用性验证。Cloudflare表示，发现漏洞与证明漏洞可被利用并不是一回事。

按照Cloudflare的说法，Mitose在代码中发现漏洞后，会直接编写并执行测试代码，以验证漏洞是否具备可利用性；一旦确认可利用，便将其判定为真实威胁；如果未能完成验证，则会调整思路继续尝试。

Cloudflare还表示，在相同环境下，其他前沿模型同样能够发现相当数量的漏洞，但往往在识别并解释单个漏洞后就停止，难以继续推进后续验证。

Mitose的不同之处在于，它能够把单看严重性不高的问题串联起来，最终组合成一条高风险的利用链。

不过，Cloudflare也指出，Mitose在部分情况下会拒绝处理出于防御目的的漏洞分析请求；即便是同一任务，仅改变表述方式，模型反馈也可能截然不同。

Cloudflare同时警告称，随着AI加快漏洞发现速度，不少安全团队已将“在漏洞披露后2小时内完成修补”设为目标。但如果一味追求速度、跳过回归测试，反而可能引入比原始漏洞更严重的新问题。

Cloudflare强调，比起单纯追求修补速度，更重要的是做好安全架构设计，即便系统存在缺陷，也要尽可能提高攻击者的利用门槛。