歐盟《AI 法》執法大限僅餘不足 3 個月，一場圍繞 AI 資安模型存取權的地緣政治博弈正在升溫。2026 年 5 月 12 日，OpenAI 發表專為資安防禦者而設的前沿 AI 方案 Daybreak，整合 GPT-5.5-Cyber、GPT-5.5 with Trusted Access for Cyber、Codex Security，以及資安合作夥伴資源，協助企業掃描漏洞、建立威脅模型、驗證修補結果，並將高風險資安能力納入分級存取及稽核框架。相比之下，Anthropic 高效能資安模型 Claude Mythos Preview 自 4 月發布以來，至今仍未向任何歐盟機構提供直接存取途徑。本文將從 3 個維度切入：2 款模型的實際差異、Anthropic 與歐盟關係持續惡化，以及 Daybreak 背後更深層的監管與外交博弈。
數據說明一切：Mythos 的飛躍與憂慮
要理解這場爭議，必須先理解各方為何如此重視 AI 資安模型。英國 AI 安全研究院（UK AI Security Institute）獨立測試提供最直觀答案：在一套模擬 32 步驟企業網絡攻擊情境中，Claude Mythos Preview 在 10 次測試中成功完成 3 次，GPT-5.5 完成 2 次——而在 Mythos 面世之前，從未有任何 AI 模型通過此項測試。
Anthropic 自身紅隊評估數據更令人震驚。前一代旗艦模型 Claude Opus 4.6 在業界標準漏洞利用測試中的成功率僅略高於 0%，而 Mythos Preview 則達到 72.4%。相關數據反映其效能出現飛躍式提升。然而能力愈強，潛在風險亦愈大，這正是歐洲機構渴望取得存取權、同時又憂慮模型擴散的根本矛盾。
相比之下，GPT-5.5-Cyber 定位並非單純追求「更強大」，而是將高風險資安能力放入 Daybreak 的可控防禦框架。它並未超越標準版 GPT-5.5 技術能力，而是在授權資安工作範疇內放寬限制，允許經驗證資安人員執行漏洞辨識、惡意程式分析、逆向工程及修補驗證等操作。這類作業在一般模型安全機制下通常受到嚴格限制。
Daybreak 將資安能力納入分級存取
OpenAI 將 Daybreak 定位為專為資安防禦者而設的前沿 AI，基本前提是資安防禦不應只在軟件推出後才補救，而要從軟件開發初期開始介入。Daybreak 期望能協助企業在設計階段找出並修復漏洞，讓系統一開始已具備抵禦漏洞的能力。
AI 目前已可協助防禦者讀取大型程式碼庫、尋找隱蔽漏洞、驗證修補、分析不熟悉系統，並縮短由發現漏洞到完成修補的時間。不過同一組能力亦可被攻擊者濫用。Daybreak 角色正是把這些能力轉化成可控資安防禦方案，處理誰可以使用、可用於哪些授權環境、如何驗證修補結果，以及高風險資安能力如何分級開放與稽核等問題。
OpenAI 在 Daybreak 中設計模型分級存取機制，按使用情境與風險程度開放不同能力。GPT-5.5 適用於通用開發與知識工作；GPT-5.5 with Trusted Access for Cyber 面向已驗證防禦工作，可用於安全程式碼審查、漏洞分級、惡意程式分析、偵測工程與修補驗證；GPT-5.5-Cyber 則是更高權限版本，預覽階段會提供予授權紅隊、滲透測試與受控驗證等專業資安場景，並配合更嚴格驗證與帳戶層級管控。
Daybreak 另一個核心是 Codex Security。OpenAI 將 Codex 程式代理能力導入資安工作流程，讓 AI 理解整個系統脈絡並驗證漏洞，以減少誤報並提升漏洞偵測品質。其目標是讓 AI 協助完成部分原本需要資安工程師處理的程式碼安全審查工作。
Anthropic 的政治代價正快速累積
自 4 月 7 日 Claude Mythos Preview 發布以來，Anthropic 透過代號「Project Glasswing」的計劃，僅向約 40 個組織開放存取，名單包括 AWS、Apple、Google、Microsoft 及 JPMorgan Chase 等科技與金融巨頭，用途亦限定於防禦性掃描及漏洞修補。Anthropic 為此計劃投入最高 1 億美元（約港幣 7.8 億元）使用額度，但名單中沒有任何 1 家歐洲政府機構或企業。
這種「閉門觀望」姿態已觸怒布魯塞爾。歐盟執委會發言人 Thomas Regnier 透露，歐盟與 Anthropic 已進行 4 至 5 次會議，但討論進度仍遠不及 OpenAI 目前方案水平。上週，Anthropic 更以「通知時間過短」為由，缺席歐洲議會就 Mythos 資安風險召開的聽證會。荷蘭歐洲議會議員 Kim van Sparrentak 公開批評此舉「極度令人憂慮」，措辭異常強烈。
德國聯邦銀行及歐洲央行行長 Christine Lagarde 亦相繼發出警告，關注核心問題有 2 點：第 1，歐洲金融機構無法以同等工具測試自身基礎設施，造成防禦上的不對稱劣勢；第 2，若 Mythos 一旦落入錯誤之手，後果將難以預估。這 2 點憂慮，折射出歐洲在這場技術博弈中的脆弱處境。
OpenAI 的「示好」：外交姿態還是商業佈局？
在 Anthropic 令歐盟屢屢碰壁之際，OpenAI 選擇主動出擊，時機耐人尋味。Daybreak 並非單一模型發布，而是把 GPT-5.5-Cyber、Trusted Access for Cyber、Codex Security 及資安合作夥伴整合成完整防禦方案，讓安全程式碼審查、威脅建模、修補驗證、相依套件風險分析，以及偵測與修復建議，納入日常軟件開發流程。
OpenAI 國際事務主管 George Osborne 宣布開放存取時表示，「最先進的 AI 資安防禦工具不應只限少數人使用」，並強調新計劃期望能與歐洲決策者及機構合作，讓通過信任驗證的用戶取得防禦工具。歐盟執委會對此表示歡迎，確認雙方已展開對話。
技術層面，OpenAI 採用「可信資安存取計劃」（Trusted Access for Cyber，TAC），以身份驗證及機構審核為基礎進行分層授權，最高等級方可存取 GPT-5.5-Cyber 本身。自 6 月 1 日起，使用最高階資安模型的用戶亦須啟用防釣魚進階帳戶保護措施，顯示 OpenAI 在開放之餘，亦試圖建立可追溯的責任框架。
這一系列動作，既是外交姿態，亦是經精心計算的商業策略。歐盟《AI 法》（AI Act）執法權力將於 2026 年 8 月 2 日正式啟動，屆時歐盟執委會可對具系統性風險的通用 AI 模型提供者展開執法行動，罰款上限為全球年營收 3% 或 1,500 萬歐元（約港幣 1.27 億元），以較高者為準。在大限逼近之際搶先建立合規形象，OpenAI 算盤打得清晰。
「自用從寬、對外從嚴」：美國因素不可忽視
這場博弈還有 1 個不能迴避的背景：美國政府角色。據報特朗普政府一方面透過國家安全局（NSA）等機構使用 Mythos，另一方面卻限制其向外擴散。這種「自用從寬、對外從嚴」取態，令歐洲盟友感到被視為次等夥伴，亦是布魯塞爾反應激烈的深層原因。
AI 模型存取權已不再單純是技術許可或商業授權問題，而正演變為一種新型外交貨幣——可以用來強化同盟關係，也可以用來施加壓力。歐盟手中握有的最大籌碼，正是 8 月即將生效的監管權力。未來數月，歐盟將如何運用這張牌換取對等技術存取，同時在 Anthropic 安全考量與 OpenAI 透過 Daybreak 展現的積極合作之間找到平衡，將成為觀察全球 AI 治理走向的重要指標。
對企業而言，這場角力的直接影響是：歐洲市場 AI 資安工具供應格局，正在被政治因素重新塑造。企業能否取得存取頂尖資安模型資格，或將成為未來競爭力的關鍵分水嶺。Daybreak 若能在歐盟市場落實，企業資安團隊將可把 AI 輔助程式碼審查、漏洞分級、修補驗證及威脅建模納入日常開發流程，進一步改變 DevSecOps 實際運作方式。
歐盟 AI 治理最終走向，究竟會推動 AI 資安工具開放共享，還是加速形成技術壁壘？
來源: Reuters
