Claude Mythos 5

Claude Mythos 5 是 Anthropic 专门用来查找代码安全漏洞的模型。如果说普通的语法检查器只是逐句挑错别字,那这个模型更像是手持整栋建筑的管道图四处巡查、找出哪根管子在漏水的检查员。它不只看单个文件,还会追踪某个文件传出的值在另一个文件里是如何被使用的,从而发现问题。

Mythos 5 只负责发现问题这一环。对每个发现的问题,它都会说明属于哪种漏洞类型、可信度如何、危险程度如何、以及该怎么修复,但真正修改代码的工作由组织已经在使用的另一个 Claude 模型来完成。而且这个修复方案也不会自动应用,必须经过人工审核并批准后才会真正写入代码。

也就是说,Mythos 5 扮演侦探的角色,修复则由另一个模型和人共同完成。目前它只能针对通过 Anthropic 的安全扫描工具上传到 GitHub 的仓库运行。

文章中常见的用法是"Claude Security 开始用 Mythos 5 执行扫描"。这里常见的误解是以为这个模型会自动修好代码。实际上 Mythos 5 只是找出漏洞并给出候选方案,真正修改代码的是组织所用的另一个 Claude 模型,而且其结果仍需人工审核并批准后才会生效。

Claude Mythos 5 不需要单独申请,只要组织管理员开启安全扫描功能即可使用。大致流程如下:

1. 组织管理员启用安全扫描功能和基于网页的编程工具,并授权 GitHub 应用访问目标仓库。
2. 用户在安全扫描页面选择已连接的仓库,如有需要可将范围缩小到特定分支或文件夹。
3. 模型在后台追踪文件间的数据流并进行扫描。
4. 扫描完成后,会列出每个发现的问题及其类型、可信度、危险等级和修复建议。
5. 选择某一项会打开修复会话,提出的补丁必须经人工审核并批准后才会应用。

可以定期运行,在新版本发布前提前排查数据流中的漏洞。