OpenAI 在 4 月 14 日正式發布專為防禦性網絡安全工作而設的新模型 GPT-5.4-Cyber，僅向通過嚴格審查的客戶開放使用，距離對手 Anthropic 推出 Mythos Preview 不過短短 1 星期，兩大 AI 巨頭幾乎同步釋出可以自主發掘軟件漏洞的前沿模型，令華爾街主要銀行、美國財政部以至全球金融監管機構急謀應對之策。
Anthropic 旗下 Mythos Preview 至今已偵測到數千個零日漏洞，當中包括一個潛伏 27 年的 OpenBSD 缺陷，以及一個存在 16 年的 FFmpeg 漏洞，而 OpenAI 的迎戰之作則透過全新分級制 Trusted Access for Cyber 計劃，把更強大但限制較少的能力釋放給經過身份驗證的安全研究員。
新模型究竟有何能耐
GPT-5.4-Cyber 屬於 OpenAI 旗艦模型 GPT-5.4 的「網絡寬鬆」變體，公司刻意減少其對敏感安全任務的拒答機制，讓研究員可以順暢進行漏洞研究與深度分析，OpenAI 解釋過去版本經常因為安全任務具備「雙重用途」性質而拒絕回應正當查詢，令前線防禦人員工作受阻。根據 OpenAI 公布的內部基準數據，旗下模型在 capture-the-flag 攻防演練中的成績由 2025 年 8 月 GPT-5 的 27%，急升至同年 11 月 GPT-5.1-Codex-Max 的 76%，反映核心能力於短短 3 個月內出現跳躍式進步。OpenAI 同時表明公司已把每一款新模型預設為可能達到 Preparedness Framework 中的「高度」網絡能力等級來規劃部署。
對手 Anthropic 走另一條路線，於 4 月 7 日公布 Mythos Preview 時宣布啟動名為 Project Glasswing 的合作計劃，並承諾投入 1 億美元（約港幣 7.8 億元）使用額度予合作夥伴，亦捐出 400 萬美元（約港幣 3,120 萬元）支援開源安全組織。Mythos Preview 在受控環境中自主發現漏洞涵蓋 Linux 核心、主流瀏覽器及 FreeBSD 等核心系統，部分零日漏洞單次發現成本低至 50 美元（約港幣 HK$390）。首批合作夥伴名單囊括 Amazon Web Services、Apple、Broadcom、Cisco、CrowdStrike、Google、JPMorgan Chase、Linux Foundation、Microsoft、NVIDIA 及 Palo Alto Networks 等業界巨頭。
兩大巨頭策略分歧
雖然兩間公司選擇限制公開發布但策略明顯不同，Anthropic 採取極度收緊做法讓 Mythos Preview 初期僅約 40 間機構獲得試用權限。OpenAI 期望把覆蓋範圍擴大至數以千計的個人防禦員及數以百計的安全團隊，並透過分級驗證機制讓不同信任等級用戶取得相應能力的工具。OpenAI 網絡安全研究員 Fouad Matin 向傳媒表示這是一場團體賽，必須確保每一隊都有能力守護自己的系統。公司目前未把 GPT-5.4-Cyber 提供予美國政府部門，但已就相關事宜展開討論。
知名安全專家 Bruce Schneier 對這場宣傳戰看法審慎，他指出安全公司 Aisle 研究顯示部分 Mythos Preview 發現的漏洞其實亦可透過舊有較便宜開源模型重現，意味發現漏洞這項能力的進入門檻並非如部分報道描述般高不可攀。目前前沿模型的相對優勢主要在於把漏洞武器化成為實際攻擊工具的能力。
商業意涵：企業如何把握新工具
這波 AI 網絡安全工具爆發為企業決策層帶來雙重訊號，一方面獲得 Mythos Preview 或 GPT-5.4-Cyber 早期使用權意味企業可以在攻擊者之前先行掃描自身軟件供應鏈、第三方組件甚至內部商業邏輯，提早修補長年潛伏的零日漏洞。Anthropic 披露其發現的漏洞中超過 99% 因為尚未完成修補程式工作而暫不公開，意味一旦同類能力流出至惡意行為者手中將急速擴大全軟件生態攻擊面。
未能進入信任計劃的中小企業同樣需要正視風險，雖然短期內這類工具集中在大型科技公司及金融機構手中，但業界普遍預期類似能力會於未來 6 至 12 個月內透過商業 API 形式擴散。財務總監及資訊保安總監應該重新評估現有資訊保安預算優先次序並把資源投放於三方面：第一加快內部程式碼審計與第三方供應商風險評估頻率；第二建立可以應對即時修補節奏的 DevSecOps 流程；第三重新檢視保險覆蓋範圍及事故應變計劃，因為攻擊頻率與規模都有可能於極短時間內增倍。
金融業反應尤其迅速，美國財政部長 Scott Bessent 與聯儲局主席 Jerome Powell 上週緊急召集華爾街頂級銀行行政總監於財政部總部商討 Mythos 引致的潛在系統性風險。美國財政部資訊總監 Sam Corcos 更於上週向部門網絡安全團隊簡報相關技術並指示團隊於本週內設法取得 Mythos 使用權限。有傳媒報道 Goldman Sachs、Citigroup、Bank of America 及 Morgan Stanley 都已經獲得或正爭取使用權限。
未來走向
展望未來數季 AI 網絡安全領域將呈現三個明顯趨勢，首先身份驗證式存取控制將取代過往能力封鎖式安全策略，模型廠商會更傾向把強大能力釋出予經過身份核實專業用戶，而非單純壓抑模型本身能力上限。其次攻防節奏將大幅壓縮，企業修補漏洞時間窗口可能由現時數週縮短至數日甚至數小時，迫使軟件供應商重新設計自動化修補機制。第三監管框架將急速跟進，預期美國、歐盟及亞洲主要金融中心會於今年內推出針對 AI 安全工具銷售對象、責任歸屬與披露義務具體規範。
這場由矽谷主導的軍備競賽對香港及亞洲地區企業而言絕非隔岸觀火議題，本地金融機構、公用事業及關鍵基建營運商應該主動接觸雲端服務供應商了解 Microsoft Foundry、Google Cloud Vertex AI 及 Amazon Bedrock 等平台何時提供 Mythos Preview 或同類工具區域性存取，並同步檢視自身系統是否具備接入下一代防禦能力技術條件。在 AI 模型可以於 50 美元（約港幣 HK$390）成本內找出潛伏 27 年漏洞的時代，不知道自己有甚麼漏洞已經不再是可以接受的安全姿態。
