作者：QQLink

对于加密货币行业而言，“安全”从来不是一个附属功能。

交易所掌握着大量用户资产，同时运行着撮合系统、钱包基础设施、API接口、身份验证系统、风控系统以及大量第三方软件和开源组件。任何一个环节出现漏洞，都可能从单纯的软件问题演变成资产安全、用户隐私甚至平台信誉问题。

这也是为什么，当Payward被曝加入Anthropic的Project Glasswing时，这件事的意义并不只是“Kraken开始使用一个新的AI工具”。

更值得注意的是，AI正在改变网络安全行业过去相对稳定的攻防节奏。

传统漏洞发现通常依赖人工代码审查、渗透测试、模糊测试以及自动化扫描工具。它们各有优势，但面对大型软件系统时，安全团队仍然需要在有限时间内决定哪些代码值得优先检查，哪些异常值得进一步验证。

而Anthropic在今年推出的Project Glasswing，试图把前沿AI模型直接引入漏洞发现环节。需要纠正的是，相关公开资料显示，Anthropic在2026年4月宣布的是Claude Mythos Preview以及Project Glasswing，而非“Claude Mitosis 5”；Glasswing也并非2025年4月启动。Anthropic公开资料将其描述为一项针对前沿AI网络安全能力的受控使用计划。

这一区别并非文字游戏，因为Mythos的核心价值恰恰在于，它代表的是新一代能够深入分析代码、寻找潜在漏洞，并在部分情况下进一步验证漏洞可利用性的AI能力。

因此，Payward如果将这类模型纳入安全工作流程，真正值得观察的是：AI是否会从安全团队的辅助工具，逐渐变成漏洞管理体系中的基础设施。

从“扫描漏洞”到“改变漏洞发现速度”

Project Glasswing受到关注，一个重要原因来自其已经公开的实践结果。

Mozilla曾在Firefox 150版本中修复了271个通过Claude Mythos Preview发现的漏洞。Anthropic也表示，Mythos Preview帮助安全团队发现了大量此前未被注意到的问题。Anthropic目前公开的网络安全资料中，已经将这一案例作为AI辅助漏洞发现的重要实践。

不过，如果仅仅把这件事理解为“AI比人类发现更多漏洞”，仍然低估了它对行业的影响。

真正的变化可能发生在速度上。

过去，一个大型项目进行安全审计，往往需要安全研究人员投入大量时间，对代码、依赖关系和潜在攻击路径进行逐层分析。AI的加入，则意味着大量代码可以被持续、反复地进行安全分析。

这带来的结果并不一定是“人类安全工程师被替代”，更可能是安全团队的工作方式发生变化：AI负责扩大检查范围，安全工程师负责判断漏洞是否真实、风险有多高、如何修复以及是否会影响现有业务。

Mozilla的案例其实已经说明了这一点。Anthropic在其安全资料中强调，模型负责扩大审查范围，而最终决定哪些问题需要修复的仍然是人类团队。

对于交易所而言，这种模式尤其重要。

因为交易所并不是一个单纯的软件产品。它背后连接着资产托管、支付、链上交互、用户身份、法币出入金以及大量外部服务。一个漏洞即使技术上存在，也不意味着一定能够形成实际攻击；反过来，一个看似普通的第三方依赖漏洞，也可能通过复杂的供应链关系影响核心系统。

AI可以帮助安全团队更早发现问题，但风险判断仍然需要业务、安全和工程团队共同完成。

加密行业真正缺的，可能不是安全工具

这也是这则消息更值得行业思考的地方。

过去几年，加密行业已经投入了大量资源改善安全体系，包括多签、冷热钱包隔离、硬件安全模块、链上监控、智能合约审计、异常交易检测以及漏洞赏金计划等。

但行业安全事件仍然反复出现。

原因之一在于，加密基础设施越来越复杂。

一家大型交易所今天面对的已经不是单一交易系统，而是一套由自研代码、开源软件、云基础设施、第三方供应商、区块链节点和各种API组成的复杂网络。

其中任何一层出现问题，都可能成为攻击入口。

Project Glasswing的另一个重要价值，恰恰在于它将关注范围扩展到了开源软件生态。

截至2026年5月，公开追踪数据已经显示，Glasswing相关漏洞发现涉及数百个开源项目，并产生了大量漏洞报告。其中包括NGINX、wolfSSL、ImageMagick、MinIO、FreeRDP等被广泛使用的软件。

这意味着，AI漏洞发现带来的影响并不会停留在某一家公司的内部系统。

如果交易所使用的第三方开源组件存在漏洞，那么交易所只是潜在受影响者之一。漏洞被发现、报告并最终修复之后，整个软件生态都可能从中受益。

从这个角度看，Payward参与Glasswing的意义，也可能超出Kraken自身。

如果其安全团队发现第三方开源软件存在漏洞，并按照负责任披露机制向项目维护者报告，那么这种合作实际上是在把一家交易所的安全投入转化为整个数字资产基础设施的安全投入。

但AI发现漏洞之后，谁来负责“接住”？

这里可能是行业接下来最容易被忽视的问题。

AI能够快速找到漏洞，并不意味着漏洞就自动消失。

事实上，Glasswing目前公开的数据反而揭示了一个非常现实的问题：发现漏洞可能越来越快，但修复漏洞未必能够同步加速。

公开追踪数据显示，截至2026年5月，Glasswing相关数据中已经记录超过2.3万个发现，真正进入披露、确认和修复流程的数量明显少于发现总量；在相关样本中，漏洞从发现到补丁落地仍然存在明显的流程瓶颈。

这实际上提出了一个新的安全管理问题。

如果过去安全团队最大的压力是“找不到漏洞”，那么未来可能逐渐变成“漏洞太多，修不过来”。

对于交易所而言尤其如此。

假设AI每天能够从核心代码、依赖组件和基础设施中找到大量潜在问题，安全团队就必须建立更加成熟的漏洞分级体系。哪些漏洞需要立即修复？哪些可以进入正常迭代？哪些属于误报？哪些问题虽然技术风险不高，但由于涉及资产系统必须提高优先级？

这些都不是简单依靠模型就能够解决的问题。

因此，AI真正进入交易所安全体系之后，平台比拼的可能不只是模型能力，而是从发现到验证、从验证到修复、从修复到复盘的完整闭环能力。

加密交易所正在进入“安全基础设施”竞争阶段

把时间拉长来看，Payward与AI安全体系的结合，也符合整个加密行业正在发生的一个变化。

早期加密交易所竞争的是交易对、手续费和流动性。

随后，竞争开始扩展到衍生品、机构服务、稳定币、托管以及全球合规牌照。

而随着传统金融机构不断进入数字资产市场，安全的重要性开始进一步上升。

对于机构投资者而言，他们关注的不再只是“这个平台能不能交易”，还会关注资产托管机制、风险控制、运营韧性、第三方风险以及安全事件响应能力。

Payward近年来也在持续扩大自身金融基础设施布局。例如，公司此前宣布收购Bitnomial，以扩展受美国商品期货交易委员会监管的衍生品业务；同时还向美国货币监理署申请设立全国性信托公司，希望进一步开展数字资产托管等业务。

在这样的背景下，安全就不再只是“交易所IT部门的问题”。

当一家加密公司开始向托管、衍生品、代币化资产和机构金融服务延伸，其安全体系实际上也在成为金融基础设施的一部分。

因此，AI安全能力的价值，很可能不是帮助Kraken在某一次安全测试中多发现几个漏洞，而是帮助其建立更加持续化、自动化的风险发现机制。

AI进入攻防两端，交易所面对的是一场长期竞速

当然，也不能因此简单得出“AI将让加密行业更加安全”的结论。

因为同样的技术进步也意味着攻击者获得了更强的工具。

Anthropic自己在Project Glasswing相关材料中也强调，AI正在降低发现和利用软件漏洞所需要的时间、资源和专业技能，而这类能力最终不会永远停留在少数防御团队手中。

这意味着未来网络安全可能出现一种新的动态平衡：防守方利用AI更快发现漏洞，攻击方同样利用AI寻找新的攻击路径。

对于加密行业来说，这种变化尤其值得警惕。

因为区块链资产具有全天候运行、跨境流动以及交易不可逆等特点，一旦攻击成功，传统金融体系中依靠人工冻结、银行干预和交易撤回建立起来的部分安全缓冲，并不一定存在。

所以，AI安全工具的真正价值不是让平台获得一个“更聪明的扫描器”，而是帮助平台把安全响应时间尽可能压缩到攻击者之前。

结语：真正的竞争，是谁能更早完成安全闭环

从这个角度来看，Payward加入Project Glasswing更像是一个行业信号，而不只是一次普通的技术合作。

过去，交易所的安全更多是一项需要持续投入、却很难直接体现商业价值的后台能力。如今，随着AI漏洞发现技术不断成熟，安全体系正在从“定期检查”走向“持续发现”，从单纯依赖人工审计走向人机协同。

但这并不意味着AI会替代安全团队。

恰恰相反，模型能力越强，企业越需要成熟的安全治理机制来承接这些发现。能够找到漏洞只是第一步，真正决定安全水平的，是平台能否快速确认风险、组织修复、协调第三方开发者，并最终完成验证和复盘。

对于Kraken以及其他大型加密平台而言，这可能是下一阶段安全竞争最值得关注的方向。

当AI逐渐让“发现漏洞”变得更加普遍之后，真正稀缺的能力或许将不再是找到一个漏洞，而是能否在漏洞被利用之前，把它从系统里彻底解决。

而这也可能成为未来数字资产平台走向机构化、金融基础设施化之后，必须回答的新问题：在AI不断加速攻防的时代，一家交易所究竟需要多快，才能真正跑在风险前面？