Cyber Agent 的瓶颈是权限、审计和责任边界
Anthropic Project Glasswing 暴露的核心问题，是前沿 cyber agent 如何被授权、记录和追责，而不只是模型能力。
概述
Project Glasswing 暴露的最大瓶颈，已经从 Claude Mythos Preview 是否足够强，转向强 cyber agent 应该如何被授权、记录和追责。Anthropic 在扩展项目时要求新组织先满足安全要求，并承认 Mythos-level general access 需要更稳健的 safeguards。这个措辞说明，能力已经不是唯一问题；谁能用、能用到什么范围、行为如何记录、出了问题谁负责，才是下一阶段的核心。
Cyber capability 天然双重用途。同一个模型能力可以帮助维护者发现漏洞，也可以帮助攻击者找到入口。普通企业软件的权限错误多半带来数据泄露或流程事故；cyber agent 的权限错误可能直接放大攻击能力。治理若跟不上，模型越强，组织越不敢开放；开放越慢，防守方又可能失去时间差。
所以这条新闻的真正判断是：前沿 cyber agent 的商业化会被治理能力限制，而不是只被模型能力限制。Anthropic 想安全扩大访问，必须解决身份、意图、范围、日志、审计、披露和补救这些制度化问题。builder 若只盯模型性能，会错过实际采购和上线的决策门槛。
发生了什么
Anthropic 宣布把 Project Glasswing 从初始约 50 个伙伴扩展到约 150 个新组织，覆盖 15 个以上国家。每个新组织都需要满足安全要求后才能访问。官方还说，许多伙伴维护的代码库若遭到重大攻击，影响可能超过 100 million 人。这些事实让访问控制不再是企业内部策略，而是带有公共安全含义的分配问题。
Anthropic 同时承认，想让 Mythos-level capabilities 走向 general access，需要足够稳健的 safeguards 来防止误用，而这些 safeguards 目前还没有成熟。这个承认比营销话术更重要。它把安全治理的难点放到了台面上：既要让合法防守者拿到能力，又要防止攻击者借同样能力扩大伤害。
公告还提到，Anthropic 计划继续扩展 Project Glasswing，并扩大 Cyber Verification Program，让更多组织为特定 cyberdefense tasks 获得 Mythos-class capabilities。这里的关键词是“specific tasks”。它暗示未来访问不会只是给或不给，而会按身份、任务、范围和目的细分。
为何重要
Cyber agent 的治理难度高，是因为它同时接触代码、漏洞、利用路径、修补建议和真实系统上下文。一个普通 coding agent 写错代码，通常可以通过 review 和测试拦住；一个 cyber agent 若越权扫描、生成可利用细节、泄露未披露漏洞或错误建议补丁，风险会更快扩散。治理必须跟任务粒度一样细。
权限设计会决定防守方能不能真正受益。卡得太严，开源维护者、小型安全团队和关键供应商可能拿不到足够能力，攻击方反而先用上不受控工具。放得太宽，模型能力又可能被滥用。正确问题不是“开放还是关闭”，重点是如何把可信身份、授权范围、目标资产、输出类型和审计要求组合起来。
责任边界同样关键。Claude 可以发现漏洞、建议补丁、做 pre-release checks，甚至参与 penetration testing 和 threat detection。但最后谁确认漏洞、谁批准披露、谁合并补丁、谁对回归负责，不能交给模型自动决定。如果责任边界不清，企业法务、安全团队和维护者都会倾向于拒绝使用。
技术要点
第一项治理基础是身份和范围。访问 cyber agent 的人需要可验证身份，任务需要绑定资产范围，模型输出需要按授权限制。扫描自己的私有代码库、复现自己环境里的漏洞、扫描公共目标、生成利用链，这些行为风险完全不同。系统必须能区分，而不能只靠关键词拦截。
第二项基础是审计日志。高能力 cyber agent 的每次输入、检索、工具调用、输出、人工批准和后续变更都应该可追踪。日志并非合规装饰，它是事故复盘、误用追查和组织信任的前提。没有日志，企业无法解释 agent 做了什么；没有可解释记录，监管和客户都不会放心。
第三项基础是输出分级。模型可以给防守团队完整复现步骤，但对低信任或低授权场景，应该限制可操作攻击细节。它可以建议补丁和测试，但应该标注不确定性、影响范围和人工复核要求。治理好的系统不会把所有 cyber 输出当成同一种文本，而会按风险和用途分层。
对建设者的影响
做 cyber agent 的团队，应该把 policy engine 和 audit trail 当成产品核心。权限、范围、日志、审批和撤销机制如果只是后补功能，产品很难进入关键客户。安全团队购买的是可控能力，而非模型神力。能证明“谁在什么范围内做了什么”的系统，才有机会进入生产。
工作流也要支持责任移交。模型发现问题后，应该能把发现交给明确 owner；补丁建议应该能生成 reviewable diff；披露建议应该能绑定 embargo 和沟通记录；最终关闭应该能关联部署和监控证据。这样的链路让人承担责任更容易，也让组织敢于扩大使用。
对开源和公共基础设施场景，builder 还要考虑公平访问。Project Glasswing 优先关键基础设施和关键开源维护者，说明资源分配本身就是治理问题。产品若只服务付费能力强的大企业，可能会让真正脆弱的公共依赖继续暴露。长期可信的 cyber agent 生态，需要兼顾安全、能力和访问公平。
该忽略什么
首先忽略“模型能力够强后自然会开放”的说法。Anthropic 明确说 general access 需要尚未成熟的 safeguards。能力越强，开放条件越复杂。把发布节奏只归因于商业策略，会低估双重用途带来的真实治理约束。
其次忽略只靠使用条款解决风险的做法。Terms of service 不能替代任务范围、工具权限、输出分级、人工审批和审计日志。Cyber agent 的误用风险发生在操作层，治理也必须落到操作层。纸面规则不够细，实际系统就会被迫保守。
最后别把治理看成阻碍创新。对 cyber agent 来说，治理是扩展访问的前提。没有可信边界，先进能力只能留在少数人手里；有了边界，更多防守者才可能安全获得能力。真正的技术进步，不只是模型更会找漏洞，也包括组织更敢、也更有能力把它用在正确范围内。