VulnCheck研究：AI助推漏洞发现量翻番，或引发新安全隐患

10 月 25 日消息，路透社采访了七名网络安全专家。这些专家认为，AI 技术正不断揭开软件里藏着的安全漏洞，而类似本周全球多地政府网站接连中断服务的情况，几乎肯定会再度上演。

美国马萨诸塞州的网络威胁情报公司 VulnCheck 即将公布一项研究。研究显示，AI 助推了软件漏洞发现数量的增长，过去一年里被发现的漏洞数量同比翻了一番。

数字基础设施公司 Cloudflare 的 CEO 马修 · 普林斯表示：“我知道，其他一些关键软件里还藏着许多严重漏洞。…… 我判断，往后两年，每周都会让人感觉天要塌下来。”

他判断，AI 会陆续挖出互联网基础设施里长期潜伏的安全隐患，未来几个月，网络安全行业将忙得不可开交。

这周，欧洲以及别的地区政府网站一个接一个断了服务。原因是互联网上用了很多年的老编程语言 PHP 被查出有安全漏洞。网站运营方赶紧抢修软件，免得黑客大规模拿漏洞来打。有些运营者怕来不及补，干脆先把站关掉，确认安全了再开。

VulnCheck 研究员帕特里克 · 加里蒂表示，PHP 漏洞引发的紧急修复，让本就不平静的网络安全行业更加忙碌。本周，PHP 替代技术 Node.js 和流媒体软件 Plex 也被披露存在漏洞，AI 网关 LiteLLM 和开发平台 Railway 则卷入了安全入侵事件。

还有，印度数字证书颁发机构 eMudhra 被查出用了安全性极差的加密密钥，可能把各地互联网用户都置于风险中。帕特里克 · 加里蒂说：“一周就冒出四五起这种事，往后恐怕只会更多。系统只要直连互联网，紧急处理安全问题大概就会越来越频繁。”

现代软件的代码库规模庞大，程序错误常常藏在意想不到的地方，其中一些缺陷足以成为黑客入侵系统的突破口。

过去，找漏洞得有一定专业技术，而把漏洞变成能攻破系统的攻击工具，往往还要经验丰富的技术人员花上数周甚至数月。开发过程漫长，防御方就有了喘息之机，可以利用这段时间差修补漏洞，逐步推出软件更新。

AI 打破了原有的时间差。AI 模型可以全天候检查软件代码，接连找出漏洞，并在短短数小时内开发出利用漏洞的攻击程序。

美国弗吉尼亚州网络安全公司 RunSafe Security 的 CTO 肖恩 · 弗赖认为，最近几个月 AI 模型的实际表现已经说明，网络安全行业势必被它改变。“变的是时间，这一点根本性、且毫无争议。发现漏洞要花的时间变了，攻击者把漏洞变成攻击手段的速度也变了。”

接受路透社采访的专家一致认为，留给防御方修补漏洞的时间越来越少。不过，AI 是否会导致黑客攻击泛滥，他们仍有分歧。

文件传输工具 curl 的主要开发者丹尼尔 · 斯滕伯格认为，AI 模型发现的漏洞往往比较特殊，恶意攻击者很难加以利用。

网络安全公司 ArmorCode 的资深首席解决方案工程师拉米 · 拉赫曼同样表示：“被披露的漏洞变多，不等于成功实施的网络攻击就一定跟着变多。”

这周让全球紧张的 PHP 漏洞，正好给出了一些初步证据。威胁情报公司 Hunt.io 说，它和亚马逊、Cloudflare 一样，也发现有大量利用该漏洞的攻击尝试。不过 Hunt.io 研究主管埃斯特万 · 博尔赫斯指出，到美东时间周四 14 时为止，从追踪情况看，网络犯罪分子还没做出能真正利用这个漏洞的有效工具。

Cloudflare 的普林斯则“看到过”一些系统被入侵的零星迹象，这些入侵与 PHP 漏洞有关。在他看来，AI 接连挖出大量漏洞固然会冲击网络安全行业，但长远看仍是好处多过坏处。

他拿清理鬼屋里的怪物打比方：跟怪物面对面当然吓人，可让它们一直缩在关紧的门后头，后果只会更糟。“现实是，我们能把大量安全隐患清掉。”