微軟正在幕後瘋狂衝刺，試圖在駭客發現漏洞之前修補它們。
五月中旬的一個下午，數十名微軟工程師和他們的經理齊聚線上，並在公司位於華盛頓州雷德蒙德的總部會議室討論「玻璃翼計畫」（Project Glasswing）。這家科技巨頭正爭分奪秒地修復其程式碼中的弱點，這些弱點正被一個名為 Mythos 的新型 AI 模型以史無前例的速度揭露。
開發 Mythos 的 AI 巨頭 Anthropic，已將其模型開放給一些為全球普通民眾、公司和政府開發軟體的特定組織使用。其目標是在駭客和中國等敵對政府開始使用類似工具進行間諜活動和破壞之前，發現並修復這些漏洞。
當團隊就座後，一位工程師提出了籠罩著會議的問題：「Mythos 是否名符其實，達到了 Anthropic 所宣稱的預期？」根據 ProPublica 審閱的會議錄音，一位經理回應：「是的。」
該經理表示，微軟正在使用的 Claude Mythos Preview 版本，揭露漏洞的速度比這家科技巨頭修補的速度還快，工程師們現在正「疲於奔命」地縮小差距。當天簡報的一張投影片顯示，僅在四月份，Mythos 就在微軟廣泛使用的協作軟體 SharePoint 中發現了 90 個「嚴重」漏洞和 141 個「重要」漏洞。五月上半月，它發現的漏洞甚至更多。
工程經理 Hans Andersen 懇求團隊：「拜託，拜託，拜託，如果你的組織有任何四月份的漏洞，請盡快處理掉。」他們大約有兩週的時間「盡可能地利用這次機會，發現更多問題並做好更多工作」。他解釋說，五月三十一日「被認為是世界其他地區趕上進度的日子」。
電話會議中的工程師們對這一說法提出質疑，其中一人總結了困境：「所以你基本上是說，如果它在六月一日發布，那麼六月二日敵人就會掌握我們的漏洞？」
「沒錯，」一個人回應。「沒錯，」另一個人附和。自從 Anthropic 在四月份公開「玻璃翼計畫」以來，引發了全國性關於 AI 漏洞偵測能力的討論，國家安全專家預測美國將有一個機會之窗，在敵對勢力掌握類似模型並發現相同弱點之前修復這些缺陷。
六月下旬，由美國、澳洲、加拿大、紐西蘭和英國組成的國際情報聯盟「五眼聯盟」（Five Eyes）在一份不同尋常的聯合聲明中警告，這個機會之窗將在數月內關閉。然而，微軟會議的錄音以及 ProPublica 審閱的內部文件表明，網路清算日可能已經到來。
根據簡報以及微軟公開的修補更新，鑑於 Mythos 識別出的大量漏洞，微軟迄今為止一直專注於修補那些被認為最危險的漏洞，即被歸類為「嚴重」或「重要」的漏洞。內部記錄顯示，微軟計劃最終解決 Mythos 發現的「中等」嚴重性漏洞。文件沒有提及「低」嚴重性漏洞。
該公司的方法反映了業界常見的分級處理系統。就像急診室會優先治療病情最嚴重的病患一樣，漏洞分級處理會優先處理那些一旦被駭客利用，可能造成最大損害的問題。但在這個 AI 驅動的漏洞發現時代，這種策略本身也帶來風險，因為新工具正在我們日常使用的產品中發現創紀錄數量的弱點。例如，Mythos 能夠將一連串漏洞串聯起來，這意味著那些尚未修補的低嚴重性和中等嚴重性漏洞可能會為毀滅性攻擊創造機會。
「現在的問題是，你可以將四個低級漏洞串聯起來，這可能等同於一個高嚴重性漏洞，」Anthropic 的高級技術顧問兼外交關係委員會 AI 高級研究員 Vinh Nguyen 說道，他曾擔任美國國家安全局（NSA）的首席 AI 長和首席資料科學家。「如果你是微軟，目前的分級處理策略可能低估了風險。」
在回覆 ProPublica 提問的電子郵件中，微軟堅持其做法，稱其分級處理決策是基於多種因素，包括可利用性和對客戶的影響。該公司簡報沒有提及漏洞串聯，但一位發言人告訴 ProPublica，這種技術「長期以來一直是漏洞評估和風險分析的一部分」。
當被問及內部簡報和當時迫在眉睫的五月三十一日截止日期時，該發言人淡化了其重要性，稱「加速鎖定和利用新漏洞並非新現象」。儘管如此，他補充說，會議期間的評論反映了公司「在此時幫助客戶的緊迫感」。
「在該次通話中聽到的以及今天仍然真實的是，安全是微軟最重要的優先事項，公司各團隊正在優先利用 AI 盡快發現和修復漏洞。」微軟拒絕回答自簡報以來工程師修補了多少漏洞的問題。Anthropic 則拒絕置評。
微軟的內部簡報和附帶投影片預測，負責 SharePoint（全球政府和企業用於管理資料和文件）的員工團隊「將忙碌數月」，首先處理最高優先級的嚴重漏洞，然後在八月處理重要漏洞。微軟表示，其歸類為「嚴重」的漏洞包括可能導致系統崩潰並在電腦網路中傳播惡意軟體的所謂「蠕蟲」。
而「重要」漏洞可能導致「危及使用者資料的機密性、完整性或可用性」以及「處理資源的可用性」。根據簡報，在這些類別清除後，該團隊將開始處理大約 300 個「中等」漏洞。
雖然 ProPublica 審閱的內部文件不包括微軟所有產品的更新，但它們確實讓人們了解問題的規模。一份文件指出，自該公司今年早些時候開始使用 Mythos 以來，它已在 Microsoft 365、Teams 會議平台和 Copilot AI 工具等熱門產品中，總共發現了數百個被微軟歸類為「嚴重」或「重要」的漏洞。截至五月中旬，其中大部分尚未修補。
「它們不深奧也不奇特，但它們是真實存在的，」工程經理 Andersen 在會議中說道。「而且其中許多都是可被利用的。」目前尚不清楚駭客是否利用了 Mythos 識別出的任何特定漏洞，但有些駭客已利用 AI 自動化攻擊，並似乎正在使用類似 Mythos 的技術來發現和利用弱點。
微軟內部處理日益增長的漏洞清單的掙扎已有一些外部跡象。每個月，該公司都會在所謂的「修補星期二」（Patch Tuesday）公開發布其軟體漏洞的修復程式。六月份，它發布了超過 200 個漏洞的修補程式，當時業界專家稱這是歷史新高。但在七月十四日，該公司打破了這一紀錄，發布了超過 600 個漏洞的修補程式。
根據網路安全公司 TrendAI 旗下 Zero Day Initiative 漏洞懸賞計畫的負責人 Dustin Childs 的說法，其中只有七個被歸類為低或中等嚴重性，其中一個正被駭客積極利用。其餘的都是重要或嚴重漏洞。
「各位，我們到了。漏洞末日已全面降臨，」Childs 在七月十四日的一篇部落格文章中寫道。微軟告訴 ProPublica，漏洞總量「短期內不會趨於平穩」，但一位發言人表示，公司「已在人力和可快速擴展的 AI 驅動分級處理方案上投入大量資源，以應對日益增長的漏洞數量」。
Nguyen（前 NSA AI 長）表示，鑑於 AI 時代的新現實，包括漏洞串聯能力，像微軟這樣的公司可能需要重新思考其整個分級處理方法。他認為，公司應該投入人力開發和測試所有類型的漏洞修補程式，而不是將目前被視為低風險的漏洞擱置一旁。換句話說，網路急診室需要更多的醫生和護士來治療危及生命的疾病以及日後可能致命的輕微傷口。
「別無選擇，」Nguyen 說道。「病患如潮水般湧入。」微軟告訴 ProPublica，它「將始終重新評估和考慮以前被認為是低或中等嚴重性的問題是否應升級或以不同方式看待。有了這些 AI 系統，它讓我們重新思考其中一些事情。整個行業都在觀察這將帶來多麼劇烈的變化。」
微軟的用戶可能特別容易受到攻擊。其產品的普及性使其成為駭客頻繁且有利可圖的目標。此外，其許多產品包含「舊有程式碼」。這些程式碼是數十年前使用過時技術開發的，包含未解決的缺陷，並導致業界所謂的「技術債」。
但修復大量新發現漏洞的挑戰也延伸到整個軟體產業，以及通常免費使用且主要由志願者維護的開源軟體程式碼。開源軟體是網際網路基礎設施的基石，並被整合到世界上許多現代技術中，包括微軟等主要科技公司提供的產品。「沒有人真正弄清楚如何處理這個問題，每個人都在四處尋找應對之道，」前總統歐巴馬的網路安全顧問、專注於網路安全的非營利組織 Cyber Threat Alliance 總裁 J. Michael Daniel 說道。「我們的技術債即將到期。」
專門管理軟體漏洞的資料科學家 Ben Edwards 表示，軟體產業在「AI 出現之前就已經處理著巨大的工作量了」。「以前就像從噴射模式的花園水管喝水，現在就像從消防水帶喝水，」Edwards 說道。「他們可能擁有能夠處理花園水管的團隊。他們是否能處理消防水帶，則是另一回事。」
儘管多年來漏洞數量不斷增長，但微軟內部負責處理這些問題的團隊——微軟安全回應中心（Microsoft Security Response Center）——卻長期人手不足。ProPublica 報導稱，即使在 AI 識別出的漏洞大量湧現之前，該中心每月也會處理數百甚至數千份報告，將團隊推向極限。該中心的規模反映了微軟的企業理念：修補安全漏洞是成本中心，而開發新產品則是利潤中心，前員工表示。