亚马逊云科技Continuum跑通漏洞修复流程，AI攻防失衡怎么破

11月13日消息，网络安全行业正被人工智能改写。新一代AI模型已经能自己挖漏洞，漏洞发现从“几年一遇”变成“一年几遇”，甚至开始工业化批量产出。

研究机构Epoch AI的数据显示，2026年6月这一个月，全球高危及关键漏洞数量约为1500个，是此前月度历史纪录的3.5倍。10月刚曝出的PHP2Shell、Linux内核漏洞又波及全球网络安全，企业的紧张情绪进一步升温。

亚马逊云科技安全合规高级经理江学森直言，传统网络安全正在被颠覆：AI带来的不只是更多漏洞，攻击速度、攻击门槛和攻击方式都在发生系统性变化。

这些挑战摆在面前，AI时代的防御思维和能力也必须升级换新。

AI攻击质变，防守必须用AI

江学森把AI时代的安全攻击归为四个特征：分钟级、全自主、零门槛、低成本。漏洞从公开到被利用的时间窗口不断坍缩；AI能端到端跑完攻击链，不需要人类指导介入；一条指令就能发起复杂攻击，人人都能发动专业级攻击；攻击成本越来越低，攻击质量却逐步逼近顶尖攻击者。

更该担心的其实是另一面：Agent本身就可能主动发动攻击，而不只是帮攻击者放大本事。江学森把近期市场上冒出来的一些现象归纳了一下——有些Agent为了把任务做完会不择手段，逃逸沙箱、打代码靶场、伪造身份都干得出来，可它自己并不觉得这算恶意。大模型很难分辨使用者的目的，同一套能力攻守两边都能拿去用。模型越迭代安全本领越强，这种增强不是人能完全设计出来的，而是训练到某个阶段自己冒出来的。所以防守方别指望“模型自带安全”就能把所有问题都兜住。

AI攻击一来，传统安全运营的短板就被急剧放大了。江学森把它归成四类：漏洞发现不及时；发现了修得也不及时；安全基线欠账多，弱口令、没开MFA、密钥长期不换这些老毛病被AI翻得更快；Agent应用缺一套安全可控的保护。攻击手法是新的，被钻的空子却是旧的。说到底，这些长期攒下的安全债务，AI只是让它以更快的速度变成真金白银的损失。

江学森对TechWeb说：“安全行业本来就攻守不平衡：防守方得把所有门窗都查一遍，才能证明房子不漏水，攻击方只要找到一条缝就行。AI把这个差距拉得更大了。”企业每天要面对成千上万条告警、系统里堆着一大堆漏洞，靠人一条条分析、排期、修复已经走不通。江学森表示，哪个领域用人肉去对抗AI都不太现实，安全防守得借助AI的本事，用AI比攻击者更早发现漏洞、验证漏洞、推动修复。

Amazon Continuum：把“发现—排序—验证—修复”跑通

今年10月，亚马逊云科技宣布面向代码漏洞的Amazon Continuum正式可用，这项服务能以机器速度发现、排序、验证并修复安全风险。它并非普通的代码扫描器，而是按代码漏洞的生命周期搭起来的多Agent系统：发现、验证、修复三个阶段各有专门的Agent，证据一路往前传，后一阶段都建在前一阶段做完的事情上。

到了发现阶段，Continuum会分析代码库，形成候选漏洞发现，并把支撑每个候选的源代码证据记下来。验证阶段，专门的Agent会试着把候选发现变成可演示的安全问题，做出概念验证并在隔离沙箱里跑，看观察到的行为是否站得住这个发现。修复阶段，系统把漏洞追到根因并给出补丁，再验证补丁确实挡住了已经证明的失败，同时项目的功能测试照样能过。修复方案是拿确立漏洞时用的同一套证据来评估的，不是甩一个风险分数了事。

在加州大学伯克利分校RDI推出的CyberGym-E2E基准测试中，Continuum以89.0%的端到端成功率位居第一，高出此前公开最佳纪录65.9%近23个百分点；在不设时限运行时，端到端通过率可达93.7%。该基准包含920项任务，基于139个开源项目的历史OSS-Fuzz漏洞，要求系统先识别并演示漏洞，再产出经过测试的修复方案，并检查修复后项目是否仍通过功能测试。Continuum的成绩既反映底层前沿模型能力，也体现多Agent安全系统的设计价值。

据透露，跨境金融数字科技平台飞来汇采用Amazon Continuum后，渗透测试效率由数天缩短至几小时，增量代码扫描在每次PR后1至2分钟反馈，构建起“7×24自动化+关键场景人工补强”的智能AppSec体系。韩国SaaS合作伙伴LG CNS使用Amazon Continuum将渗透测试时间缩短最多80%至1天，全自主运行成本降低70%，上下文文档将评估可靠性从60%提升至90%。

江学森介绍，Continuum比较特别的地方是把部署上下文拉进来做优先级判断。它的上下文图谱主要来自两个源头：客户的代码存储库和AWS环境。通过在跑代码的账户和区域部署收集器，Continuum能拿到AWS Config资源、网络配置等信息，判断漏洞能不能从网络触达、攻击者能从中捞到什么。它据此找出客户最值钱的系统，比如客户数据存储、支付管线、身份验证服务，再按攻击路径离这些系统的远近给问题排名。Continuum想回答的是：这个漏洞在真实环境里到底能不能用、会波及哪些业务。接下来，Continuum会为每个确认的问题生成修复程序，可能是代码补丁、依赖项升级或配置更改，并以拉取请求的形式在已连接的代码仓库里打开，等着人来审查和合并。每项修复都要人工批准，最后拍板的还是团队。

双向赋能：AI赋能安全，也要安全赋能AI

江学森强调，AI与安全是双向赋能：一方面要保护在云上构建的AI应用、数据和系统，即Security for AI（安全赋能AI）；另一方面要用AI提升安全效率，即AI for Security（AI赋能安全）。Continuum代表的是“AI赋能安全”的方向，但亚马逊云科技的布局不止于此。

企业扎堆搭建Agent，风险暴露面也跟着从网络扩到了Agent的上下文里。提示词注入、记忆投毒、工具滥用、数据泄露、沙箱逃逸——这些问题不用攻破系统，可能只要说服Agent做出错误判断就够了。

针对这一层，亚马逊云科技用Amazon Bedrock AgentCore给出了模块化能力。AgentCore Runtime靠microVM技术为每个会话隔出独立计算环境，避免Agent逃出沙箱或跨会话泄数据；AgentCore Identity给Agent建立独立身份，按最小权限原则分发OAuth Token并加密存储；AgentCore Gateway把工具和MCP调用入口收拢到一处，提供调用链审计与OpenTelemetry遥测；AgentCore Policy基于Cedar策略语言，在Agent调用工具之前就做确定性拦截；Amazon Bedrock Guardrails则负责输入输出的内容过滤、敏感信息保护、提示词注入防护、词汇过滤、话题控制和事实性校验。基础安全这块还有SHIP安全态势提升计划，帮客户排查MFA未开启、安全组过度开放、日志和监控未启用、异常登录等问题。

江学森的说法是，AI会重构每一个安全细分领域，安全也需要重构每一个AI层级。从基础设施、模型、数据和知识，到Agentic平台和Agent，每一层都得加载安全能力。AI攻击不可避免，防守方能做的，是在攻击者发现之前，用AI把现有威胁和漏洞找出来并修掉。

一边是Continuum跑通“发现—排序—验证—修复”闭环，一边是AgentCore为Agent构建可控边界，两条线指向同一个判断：AI时代的安全，不能只靠人肉去追机器的速度，得用AI的速度、上下文和确定性护栏重建防守体系。这已经超出产品能力的竞争，是整个行业生态要一起推进的事。