人工智能正在以前所未有的速度挖掘软件漏洞，网络安全行业正面临一场结构性冲击。多位业内专家警告，未来数月内，类似本周席卷全球政府网站的大规模宕机事件将接连上演。
本周，编程语言PHP被曝存在严重安全漏洞，欧洲及其他地区多个政府网站相继中断服务，部分运营商因无法在黑客抢先利用前完成修复，被迫直接将网站下线。Cloudflare首席执行官Matthew Prince向路透社表示，他已知悉"其他关键软件中存在大量额外的严重漏洞"正在修补之中，并预言未来将迎来一段持续数年、"每周都感觉天要塌下来"的动荡期。
据路透社报道，七位网络安全专业人士一致认为，AI驱动的漏洞发现浪潮几乎必然引发更多类似本周的大规模中断事件。马萨诸塞州威胁情报机构VulnCheck即将发布的研究显示，AI的介入推动今年数字漏洞发现数量同比翻倍。
漏洞发现提速，防御窗口大幅压缩
过去，发现软件漏洞需要相当的技术门槛，而将漏洞转化为可实际利用的攻击工具（即"漏洞利用程序"）往往需要经验丰富的专业人员耗费数周乃至数月时间。这一时间差曾为防御方提供了相对充裕的修复窗口。
AI的出现从根本上打破了这一逻辑。AI模型可对代码库实施全天候扫描，持续发现漏洞，并能在数小时内完成攻击工具的构建。弗吉尼亚州RunSafe Security首席技术官Shane Fry表示，过去数月AI模型的实际表现已彻底打消了业界对其能否改变行业格局的疑虑。
"从根本上、毋庸置疑地正在改变的，是发现漏洞的速度，以及攻击者将漏洞武器化的速度，"Fry说。
VulnCheck研究员Patrick Garrity指出，PHP漏洞的应急响应发生在本已繁忙的一周之内。同期曝光的安全事件还包括：PHP替代语言Node.js及流媒体程序Plex的漏洞披露、AI网关LiteLLM和开发平台Railway遭遇的数据泄露，以及印度证书颁发机构eMudhra被发现使用极度脆弱的加密密钥，令全球互联网用户面临潜在风险。
"如果这一周就出现了四五件这样的事，我预计未来还会看到更多，"Garrity说，"任何暴露在互联网上的系统，都将面临更多的紧急演练。"
漏洞激增是否必然导致攻击成功率上升？专家存分歧
尽管受访专家普遍认同防御方的响应时间正在缩短，但对于AI是否会引发黑客攻击的全面爆发，各方看法不一。
文件传输工具curl的首席开发者Daniel Stenberg认为，AI模型发现的漏洞往往属于较为罕见的"奇异漏洞"，恶意行为者难以直接加以利用。网络安全公司ArmorCode高级主任解决方案工程师Ramy Rahman也表示，"披露的漏洞增多，并不自动意味着成功攻击增多。"
本周PHP漏洞事件提供了一定的佐证。据路透社报道，威胁情报机构Hunt.io表示，与亚马逊和Cloudflare一样，该机构也观察到针对该漏洞的大规模利用尝试。但Hunt.io研究主管Esteban Borges表示，截至美东时间周四下午2时，他所追踪的网络犯罪分子似乎尚未成功拼凑出一个可用的攻击工具。
Cloudflare的Matthew Prince则向路透社表示，他已看到与PHP漏洞相关的零星入侵案例。
行业阵痛或换来长期安全红利
尽管AI驱动的漏洞发现浪潮令行业承压，但部分专家认为，这一过程从长远来看对整体安全生态是净正面的。
Matthew Prince以"鬼屋斩妖"作比：与其让隐患长期潜伏于暗处，不如正面迎击。"现实是，我们将把大量这类问题清理干净，"他说。
对于投资者而言，这一趋势意味着网络安全赛道的需求将持续扩张。Cloudflare等数字基础设施企业，以及专注漏洞管理和威胁情报的安全厂商，有望在这一轮由AI催生的安全军备竞赛中持续受益。与此同时，各类企业在安全合规和应急响应方面的支出压力也将随之上升。
Comments