Mozilla用AI兩個月挖出271個漏洞：這次幾乎沒誤報

上個月，Mozilla CTO放話稱"零日漏洞即將終結"，"防御方終于有機會徹底翻身"。這話一出，質疑聲四起——畢竟聽起來太像老套路：挑幾個AI的漂亮成績，略過所有細節，讓炒作列車繼續狂奔。

面對 skepticism，Mozilla本周四交出了詳細答卷：過去兩個月，他們用Anthropic的Mythos模型在Firefox代碼里挖出了271個安全漏洞。工程師在博客中解釋，這次"真正 ready for prime time"的突破，主要靠兩點：一是模型本身的進步，二是Mozilla自己開發的一套定制"harness"（代理框架），讓Mythos能分析Firefox源碼。

他們坦承，之前試過AI輔助漏洞檢測，結果全是"unwanted slop"（不想要的垃圾）。典型流程是：給模型一段代碼讓它分析，模型吐出一大堆讀起來像模像樣的漏洞報告。但人工一核實，發現大量細節是幻覺編造的。最后開發者還得用老辦法，花大力氣處理這些報告。

Mozilla杰出工程師Brian Grinstead說，這次用Mythos不一樣。最大區別是用了agent harness——一段包裹在大語言模型外面的代碼，引導它完成一系列具體任務。但這種harness要真正有用，得投入大量資源，針對具體項目的語義、工具和流程做定制。

Grinstead描述他們做的harness："這是驅動大模型完成目標的代碼。它給模型下指令（比如'在這個文件里找bug'），提供工具（比如讀寫文件、運行測試用例），然后循環運行直到完成。"這個harness讓Mythos能訪問Mozilla開發者用的同款工具和流水線，包括他們專門用來測試的Firefox構建版本。

有了這些harness，只要你能定義清楚什么是"成功"——比如"這個測試用例現在能復現崩潰了"——模型就能自主工作。Mozilla說，這271個漏洞"幾乎零誤報"。