美国医疗记录巨头Epic因Anthropic模型Mythos发现MyChart安全缺陷，暂停大部分产品开发约六周：部分配置可让外部人员不留入侵痕迹访问逾3.2亿份患者记录

Epic创始人兼首席执行官Judy Faulkner将这项工作定性为安全加固。首席安全官Stirling Martin表示，部分客户配置可能允许外部人员在入侵日志中不留痕迹地访问患者记录；Mythos未能确定攻击者是否可以在篡改记录后不被发现，但Martin认为该风险足以支撑全面修复。

Epic强调客户医疗数据由医疗机构而非Epic控制，但未披露缺陷的具体性质，也未说明是否已有攻击者利用。此次罕见的开发暂停反映医疗行业对“AI加速漏洞发现与利用”的担忧。

此次罕见的开发暂停反映医疗行业对“AI加速漏洞发现与利用”的担忧。Google近期披露，其面向可信网络防御者提供的Gemini 4 Argon模型曾在医疗机构软件中发现此前模型未能识别的关键漏洞。当防御方的模型能更快找到缺陷时，攻击方采用同类能力的时间窗口也在压缩。

背景是医疗勒索攻击持续升级：2024年针对UnitedHealth旗下Change Healthcare的攻击影响逾1.92亿人；2026年攻击者窃取了CareCloud医疗记录、制药分销商McKesson数百万行患者数据，以及业务覆盖北美的英国软件商Craneware的数据。美国卫生与公众服务部目前将DentaQuest涉及1500万人的事件列为2026年最大医疗数据事件。

对医疗机构的合规提示集中在三点：一是供应链安全责任不可外包——Epic作为业务伙伴的系统缺陷可能构成多家医疗机构自身的泄露事件；二是访问审计日志的完整性须被验证，“无日志”本身即是重大风险信号；三是需预置对业务伙伴安全事件的快速评估与通报机制。