Chainguard 发布 Harness：用 Claude Mythos 5.1 对真实跑起来的应用猎洞并给修复

2026-10-14，软件供应链安全公司 Chainguard 在 Assemble London（#Assemble26LDN）官宣 Chainguard Harness：面向组织自有代码与开源依赖的「可复现」漏洞猎杀与修复服务。流程是：经 GitHub App 只读接入仓库或上传源码包 → 按生产形态从源码重建并在无出站、无凭证的隔离微虚拟机中启动 → 由 Anthropic Claude Mythos 5.1 主动探测逻辑漏洞、注入与资源耗尽等 → 每个疑点在全新微虚拟机中重放，复现不稳的一律不上报告，并对推荐补丁做「打补丁后攻击失败」校验；报告经具名 Chainguard 工程师审阅后交付。官宣称 Frontier 级漏洞发现此前多限于关键基础设施防御团队，Harness 旨在让缺乏模型权限与安全工程编制的组织也能用上；若洞在开源依赖，公司负责协调上游披露，补丁经 Chainguard Repository 分发。

谁能用：今日起开放 beta 等待名单，初期仅向有限组织放量；最终可经 Anthropic Claude Marketplace 购买，可用既有 Anthropic 承诺额度的一部分抵扣。Mythos 5.1 仅由 Chainguard 员工操作，客户不直接拿模型 API/App/Search 入口，也看不到模型原始输出。非 Free/Pro/Ultra 聊天订阅产品，亦非开源权重。 解读：把受限前沿模型（Mythos）封装成「不给客户模型钥匙、只给可复现报告」的托管 harness，是 Anthropic 企业安全生态与供应链厂商的一次产品化合流。讨论：① 「复现不了不上报」能否真正压住误报，还是把漏报风险转移到重放门槛？② Claude Marketplace 抵扣会不会把安全扫描变成 Anthropic 企业合同的标配附件？