当Google Project Zero——全球最负盛名的漏洞猎手团队——通常需要数周甚至数月才能发现一个零日漏洞时，一个名为AI Notkilleveryoneism（Mythos）的团队却在5天内完成了对MacOS的完整破解。更令人不安的是，前NSA局长透露，该团队在数小时内就渗透了军方系统。这并非孤立的黑客炫技，而是AI自动化攻击能力从实验室走向实战的转折点。

传统漏洞挖掘高度依赖人工经验与直觉，顶尖安全研究员需要数周手工分析二进制文件、反汇编代码，再进行模糊测试（fuzzing）与符号执行。Google Project Zero积累了大量半自动化工具，但发现一个高质量的0-day仍以“月”为单位。Mythos的突破在于：将AI模型深度嵌入漏洞发现全流程——从代码静态分析到动态执行路径预测，AI能够快速识别传统工具难以发现的逻辑缺陷。其5天破解MacOS的成绩单，意味着零日漏洞的发现效率被压缩了两个数量级。

更深层的冲击在于安全行业赖以生存的“威胁模型”基础正在崩塌。传统安全评估假设攻击者获取0-day需要高昂的时间与金钱成本，因此防御方可以通过定期补丁、漏洞奖励计划等方式维持安全水位。当AI能以“天”为单位生成新的攻击向量，这种成本优势将彻底逆转：防御方被迫面对一个永不枯竭的0-day供应链。前NSA局长的评论印证了这一点：军方系统曾被认为是高度加固的堡垒，但在AI自动化攻击面前，数小时内即告失守。

这一趋势并非科幻——背后是大语言模型与强化学习在安全领域的交汇总爆发。Mythos很可能使用了类似Agent的架构：由LLM解析漏洞描述、生成测试用例，再由RL框架优化执行路径，形成“理解-猜测-验证”的闭环。相比手动模糊测试的低效，AI能并行探索数百万条代码执行路径，且能从历史漏洞中归纳模式，实现迁移学习。Google Project Zero负责人曾坦言，AI工具已经将部分漏洞挖掘门槛降低到“脚本小子”级别。

对安全从业者而言，这既是威胁也是机遇。防御策略必须从“被动响应”转向“主动预测”：监控AI驱动的攻击趋势，建立自动化补丁分发机制，重构漏洞奖励计划的评估标准（例如对AI辅助发现的漏洞给予额外权重）。更根本的是，安全行业需要重新定义“足够安全”的边界——当攻击者拥有几乎无限的0-day生产能力时，纵深防御、零信任架构、硬件级隔离等技术不再只是可选项，而是生存刚需。

Mythos的5天破解只是一个开始。随着算力成本下降和AI模型开源化，AI自动化漏洞挖掘将从顶级团队的特权变为普惠性攻击能力。安全行业若不及时调整威胁模型，将面临“以人力对抗算法”的降维打击。正如一份内部报告所警告的：“我们在用火把防御，而对手已经装备了激光制导导弹。” 应对这一变局，需要整个生态从攻防思维到技术栈的彻底重塑。