VulnCheck：AI 令漏洞发现速度翻番，一年数量同比倍增

10 月 25 日消息，路透社采访的七名网络安全专家判断，AI 技术正不断挖出软件里藏着的安全漏洞，本周全球多地政府网站接连中断服务这类事情，几乎肯定还会再出现。

美国马萨诸塞州网络威胁情报公司 VulnCheck 即将公布的一项研究给出了数字：AI 把软件漏洞的发现速度推了上去，过去一年发现的漏洞数量同比翻了一番。

数字基础设施企业 Cloudflare 的首席执行官马修 · 普林斯表示：“我知道，其他一些关键软件中还存在不少严重漏洞。…… 我认为，接下来两年，我们每个星期都会觉得天要塌了。”

他判断，AI 会陆续挖出互联网基础设施里长期潜伏的安全隐患，未来几个月，网络安全行业会忙得不可开交。

据IT之家了解，本周欧洲及其他地区的政府网站接连中断服务，原因是广泛应用于互联网的老牌编程语言 PHP 被查出存在安全漏洞。

网站运营者随即紧急修补软件，防止黑客大规模利用漏洞发动攻击。部分运营者担心来不及修补，索性先关闭网站，待确保安全后再恢复运行。

VulnCheck 研究员帕特里克 · 加里蒂表示，PHP 漏洞带来的紧急修复，让本就不平静的网络安全行业更加忙碌。本周被披露存在漏洞的还有 PHP 替代技术 Node.js 和流媒体软件 Plex，AI 网关 LiteLLM 和开发平台 Railway 则卷入了安全入侵事件。

另外，印度数字证书颁发机构 eMudhra 被发现使用了安全性极差的加密密钥，可能危及互联网各地的用户。加里蒂说：“如果一周就发生了四五起这样的事件，以后恐怕只会更多。只要系统直接连接互联网，就可能需要越来越频繁地紧急处理安全问题。”

现代软件的代码库规模庞大，程序错误往往藏在意想不到的地方，其中一些缺陷足以成为黑客入侵系统的突破口。

过去，找漏洞需要一定的专业技术，把漏洞变成能攻破系统的攻击工具，通常还得靠经验丰富的技术人员花上数周甚至数月。漫长的开发过程给了防御方喘息之机，可以利用时间差修补漏洞，逐步推出软件更新。

AI 打破了这个时间差。AI 模型能够全天候检查软件代码，接连找出漏洞，并在短短数小时内开发出利用漏洞的攻击程序。

美国弗吉尼亚州网络安全公司 RunSafe Security 的 CTO 肖恩 · 弗赖指出，过去几个月，AI 模型已经用实际表现证明，网络安全行业必将因此发生改变。“发生根本性变化，而且毫无争议的，是时间。不仅发现漏洞所需的时间变了，攻击者将漏洞转化为攻击手段的速度也变了。”

接受路透社采访的专家一致认为，留给防御方修补漏洞的时间越来越少。但 AI 是否会导致黑客攻击泛滥，他们仍有分歧。

在文件传输工具 curl 的主要开发者丹尼尔 · 斯滕伯格看来，AI 模型找出的漏洞通常比较特殊，恶意攻击者要利用起来并不容易。网络安全公司 ArmorCode 的资深首席解决方案工程师拉米 · 拉赫曼同样认为：“披露的漏洞越来越多，并不意味着成功发动的网络攻击必然随之增加。”

本周引起全球关注的 PHP 漏洞，就给出了部分初步佐证。威胁情报公司 Hunt.io 表示，和亚马逊、Cloudflare 一样，该公司也监测到有人密集尝试利用该漏洞发起攻击。不过 Hunt.io 研究主管埃斯特万 · 博尔赫斯称，截至美东时间周四 14 时，追踪结果显示，网络犯罪分子还没有做出能真正利用该漏洞的有效工具。

Cloudflare 的普林斯则“看到过”部分系统被入侵的零星迹象，这些入侵事件与 PHP 漏洞有关。在他看来，AI 接连挖出大量漏洞，会给网络安全行业带来冲击，可长远看依然利大于弊。

他把这一过程比作清理鬼屋里的怪物：正面跟怪物交手固然可怕，但让它们一直躲在紧闭的门后，后果只会更严重。“现实是，我们将能够清除大量安全隐患。”