在大模型能力持续外溢至软件工程领域的背景下，AI 正在改写“安全审计”的基本方法论。最新案例来自 Mozilla：其在 Firefox 150 稳定版发布过程中，引入 Anthropic 的新一代模型 Mythos Preview，对代码库进行自动化漏洞挖掘，最终识别并修复了 271 个安全问题。
相比此前在 Firefox 148 中使用 Opus 4.6 模型仅发现 22 个漏洞，这一数量级的跃迁，不只是模型性能的提升，更意味着 AI 正从“辅助工具”转向“主力审计系统”。
传统安全审计依赖静态分析（SAST）、动态分析（DAST）以及人工代码审查。这些方法在已知漏洞模式（pattern-based detection）上表现稳定，但面对复杂逻辑漏洞或跨模块问题时，往往存在盲区。
AI 模型的引入，改变了这一范式：
Mozilla CTO Bobby Holley 将其描述为“覆盖几乎所有漏洞空间”的能力。这一说法虽略显激进，但反映出一个趋势：漏洞发现正在从“穷举规则”转向“概率推理”。
在 Firefox 148 中，Anthropic 的 Opus 4.6 模型已被用于漏洞检测，但效果仍偏向“高置信度、小规模输出”。而在 Firefox 150 中，Mythos Preview 的表现更接近“广覆盖扫描器”，可以在更大范围内生成候选漏洞。
这种差异，背后可能涉及多个技术维度的升级：
换句话说，AI 不再只是“提出问题”，而是逐步融入完整的漏洞检测 pipeline。
Mozilla 将当前阶段称为软件开发的“安全检查过渡期”（security inspection transition）。其核心变化在于：
这也意味着，未来软件版本之间的差异，不仅体现在功能更新，还体现在“安全密度”的提升。
对于浏览器这类高风险软件（涉及内存管理、沙箱隔离、JIT 编译等复杂模块），AI 的介入尤为关键。以 Firefox 为例，其代码规模庞大且历史包袱深厚，传统方法难以实现全面覆盖。
不过，AI 安全审计的规模化也带来了新的结构性问题。
Mozilla CTO Raffi Krikorian 指出，小型开源项目可能难以承受这种“安全升级”的成本。原因在于：
结果可能是：头部项目安全性进一步提升，而资源有限的项目则面临“漏洞暴露但无力修复”的困境，从而加剧开源生态的不平衡。
对于 AI 工程与开发者社区而言，这一案例释放出几个明确信号：
未来的 CI 流程中，AI 驱动的安全扫描可能与单元测试、代码检查一样成为“默认步骤”。
单一扫描工具将被整合进 AI 驱动的平台中，形成“检测 + 推理 + 修复建议”的闭环。
AI 负责大规模发现，人类工程师负责验证与修复，高效分工将成为常态。
包括共享模型、低成本 API、标准化工具链等，以避免安全能力向少数组织集中。
如果说 Copilot 类工具解决了“如何更快写代码”，那么以 Mythos 为代表的安全模型，则在回答另一个关键问题：如何确保代码是安全的。
从 22 个漏洞到 271 个漏洞，这一跃迁不仅是数字增长，更是软件工程范式的转折点。随着 AI 逐步接管安全审计环节，“默认安全”（secure by default）或许将从理想变为现实，但前提是——这项能力能够被更广泛地获取，而不是成为少数组织的特权。