别再提AI放缓——漏洞大爆发已然来临

AI正在把软件漏洞的发现速度推到一个前所未有的量级，而这场“漏洞海啸”已经发生，不是未来时。Wired AI的Kernel Panic专栏指出，过去几个月里，借助AI挖掘漏洞的规模持续加速，给本就人手不足的IT和安全团队带来更大压力，也让维护关键开源软件的志愿者不堪重负。微软上周表示，本月已发布974个CVE（通用漏洞与暴露，即已确认的软件缺陷）补丁，创下新纪录；甲骨文7月发布了1448个补丁，而去年7月只有309个；谷歌Chrome在6月的两个大版本中合计修复1072个漏洞，超过此前23个大版本修复量的总和；Mozilla在4月称，使用Anthropic的Mythos模型进行一次漏洞挖掘冲刺，就在Firefox中发现271个漏洞。根据Empirical Security研究主管、cve.icu项目创始人Jerry Gamblin的数据，截至本周三，今年已记录66401个CVE，而截至去年9月16日全年为33512个，几乎只有现在的一半；2022年全年——也就是OpenAI推出第一版ChatGPT的那一年——cve.icu记录的CVE数量为2.5万个。 这场爆发的直接推手，是主流AI产品中已经广泛可用的能力，包括开放权重模型。换句话说，不需要等待什么“前沿模型突破”，现有工具就足以让漏洞发现效率大幅提升。对跨境电商卖家和出海创业者来说，这意味着你所依赖的电商平台、支付网关、物流系统、建站工具和各类SaaS服务，其底层软件被曝出漏洞的频率会明显加快。安全团队要在更短时间内处理更多补丁，开发者可能被补丁节奏甩在身后，而软件用户往往来不及更新，攻击者则可能利用AI自行发现新漏洞，发动更多攻击。英国国家网络安全中心对此的表述很直接：“仅仅发现漏洞，并不会让你的安全变好。”不过，安全与AI研究者对后果的判断仍有分歧：一派认为这将带来灾难性影响，另一派认为它只是放大了原有问题。Gamblin就表示，他不认为这件事被夸大，但他反对“数字更大本身就是伤害”的说法——“更多CVE不等于更多漏洞，而是更多已知漏洞，这很大程度上说明系统在运转。”思科威胁情报总监Matthew Olney则指出，攻击方和产业界一样，都在摸索“我该在哪里用AI”。目前不少研究者认为，AI加速漏洞发现与AI辅助防御之间至少还存在一种脆弱的平衡。但可以确定的是，无论未来以监管还是行业协议的形式让AI“减速”，都无法阻止已经由现有AI工具引发的漏洞洪流。