2026 年 3 月 27 日，Anthropic 因 CMS 配置错误泄露了约 3,000 份未发布资产。其中一份草稿描述了代号 Mythos（内部称 Capybara）的下一代模型，声称在 coding、reasoning 和 cybersecurity 上有显著进展，且在网络安全能力上"far ahead of any other AI model"。
消息传出后，网络安全股集体暴跌：CrowdStrike 单日跌 7.5%，Palo Alto Networks 跌 7%，Zscaler 跌 7.7%，iShares Cybersecurity ETF 跌约 3%。资本市场用真金白银给出了判断：如果 AI 自己能攻能防，传统安全产品的价值会被侵蚀。
但这个解读只对了一半。
市场恐慌背后的真问题
具有讽刺意味的是，一家 AI 安全公司的泄露本身就是因为 CMS 配置错误——这恰好说明了问题的本质：当 AI 能力越过某条线之后，你的 agent 系统面对的对手模型和基础设施假设会同时失效。
更值得注意的是 Axios 的独家报道：Anthropic 正在私下向美国政府高级官员警告，Mythos 级别的模型可能让大规模网络攻击在 2026 年内变得"much more likely"。厂商自己把 cyber 能力提升当作需要提前预警的风险，而非单纯的产品卖点。
这揭示了一个更深层的问题：Agent 安全的控制点正在从 prompt 和规则层上移到 runtime 层。
为什么控制点要上移
传统的 AI 安全聚焦于 prompt injection 防护——通过在 prompt 中写规则来限制 AI 的行为。但在 Agent 时代，这种防御已经不够了。
考虑这样一个场景：企业内部部署了一个 AI agent，它能访问代码库、调用 API、操作数据库。某个新员工在试用期内让 agent 帮忙"整理一下项目文档"，agent 在执行过程中顺便把企业的核心 skill 库完整拷贝了一份。
这不是 prompt injection，也不是越狱攻击。这是一个完全合法的请求，在一个拥有过高权限的 agent 手中产生了灾难性后果。
Agent 持有凭证、能调用工具、能跨系统连续行动。 你的防御不能只靠在 prompt 里写"不要泄露敏感信息"。真正的主防线是运行时治理。
运行时治理的三大支柱
1. 最小权限原则
Agent 只应获得完成当前任务所需的最小权限集。不是"这个 agent 能访问所有代码库"，而是"这个 agent 在执行这次任务时只能读取 src/auth 目录"。
权限应该是动态分配的、任务级别的、可撤销的。每次任务结束后，权限自动回收。
2. 动态身份机制
不要给 agent 一个长期有效的 API token。每次任务开始时，生成一个临时身份凭证，任务结束后立即失效。
这类似于 AWS 的 STS（Security Token Service）机制：短期凭证、自动过期、可追溯。如果凭证泄露，影响范围被限制在单次任务内。
3. 执行隔离与结果验证
关键操作必须在沙箱中执行，结果必须经过独立验证才能继续。不是"相信 agent 做对了"，而是"验证 agent 做对了"。
Cisco 在 2026 年 2 月已经把 AI Defense 扩展到了 MCP 层的 runtime 保护，CrowdStrike 也在执行层做了类似布局。安全厂商自己在用行动说明控制点往哪移。
从过程护栏到结果验证
这里有一个容易被忽视的第二层含义。
过去很多团队靠 prompt 规则、工具白名单来做 agent 安全，这些是"过程护栏"——试图在执行过程中限制 agent 的行为。但模型能力越强，过程护栏的有效性越低，因为你很难靠静态规则覆盖所有可能的危险组合。
更稳的做法是把系统重心放到结果验证上：
- 任何关键动作都必须满足可检查的验收条件
- 高风险结果必须经过独立验证才能继续
- 执行链必须有审计和回放能力
这个思路和传统安全里的 sandbox、policy gate 是同一类东西，只是现在它们需要直接进入 agent runtime，而非待在外围。
对 AI 开发者的实际影响
如果你的 agent 系统还停留在"写好 prompt 就安全了"的阶段，现在是时候重新审视架构了。
检查清单：
- 权限模型是平面式的吗？ 所有 agent 共享同一套凭证？这是最危险的信号。
- 凭证是静态配置的吗？ 写在配置文件里的 API token？一旦泄露，影响范围无法控制。
- 执行链有审计能力吗？ 能回溯 agent 做了什么、为什么这么做、结果是什么？
- 关键操作有独立验证吗？ 还是完全信任 agent 的输出？
这不是"优化"，而是"重新设计"。从"写好 prompt"到"设计安全运行时"是范式转移，需要架构层面的重新思考，而非配置层面的修修补补。
行业的应对
好消息是，行业已经在行动。
Cisco 的 AI Defense 已经扩展到 MCP 协议层，提供运行时级别的保护。CrowdStrike 在执行层部署了类似的防护机制。这些传统安全厂商正在从"防护 AI"转向"为 AI 提供安全运行时"。
OpenAI 在 3 月开源的 Symphony 项目中，用自定义 linter 强制执行架构不变量，lint 错误信息本身就是给 agent 的修复指引。Cursor 发现"no TODOs, no partial implementations"这种约束比"remember to finish implementations"有效得多。
这些实践指向同一个方向：约束比指令有效。 当你管理 AI 时，写约束比写指令更有杠杆。
结论
Mythos 泄露事件让网安股暴跌，但真正的信号不是"AI 会替代安全产品"，而是"Agent 安全的控制点正在迁移"。
从 prompt 层到 runtime 层，从过程护栏到结果验证，从静态规则到动态治理——这是 Agent 时代安全架构的根本转变。
如果你正在构建 agent 系统，现在就该开始重新设计权限模型、身份机制和执行隔离。不是因为 Mythos 有多强，而是因为当模型能力越过某条线之后，旧的安全假设会同时失效。
参考资料： - Fortune: Anthropic says testing Mythos, powerful new AI model - CNBC: Anthropic cybersecurity stocks AI Mythos - Axios: Claude Mythos Anthropic cyberattack AI agents