AI 找漏洞越来越快，防守方的时间快不够用了

本周，欧洲及多个地区的政府网站接连中断服务，起因是广泛使用的编程语言 PHP 被发现存在安全漏洞。路透社采访的七名网络安全专家认为，随着 AI 不断挖出软件里藏着的缺陷，类似事件几乎肯定会再次发生。

一分钟速览

• 安全公司 VulnCheck 即将发布的研究显示，过去一年发现的漏洞数量同比翻了一番。
• Cloudflare 首席执行官普林斯判断，未来两年每周都会有「天要塌了」的感觉。
• 本周 PHP、Node.js 和流媒体软件 Plex 相继被披露存在漏洞。
• 过去把漏洞变成攻击工具要数周甚至数月，AI 把它压缩到数小时。
• 专家对「漏洞变多是否等于攻击变多」仍有分歧。

这一周发生了什么

先是 PHP 被曝出安全问题。这门老牌语言广泛用于搭建网站，受影响面很大。各网站运营者随即紧急修复，有的担心来不及打补丁，索性先把站点关掉，确认安全后再恢复。于是用户看到的就是一连串的「服务暂时不可用」。

紧接着，PHP 的替代技术 Node.js 和流媒体软件 Plex 也被披露存在漏洞，AI 网关 LiteLLM 和开发平台 Railway 则卷入了安全入侵事件。印度数字证书机构 eMudhra 被发现使用了安全性极差的加密密钥，可能危及各地用户。

网络安全公司 VulnCheck 的研究员帕特里克·加里蒂说得很直白：这一连串事情，让原本就不平静的行业更加忙碌。「如果一周就发生了四五起这样的事件，以后恐怕只会更多。只要系统直接连互联网，就可能需要越来越频繁地紧急处理安全问题。」

被抹平的是时间差

过去，发现漏洞是件技术活，需要经验丰富的安全人员反复审计代码。而把漏洞变成能攻破系统的工具，往往还要再花几周甚至几个月。这段漫长的时间，恰好是防守方的窗口期：可以打补丁、推更新、加监控。

AI 把这个窗口压缩了。模型可以全天候扫代码，一处一处找出缺陷，还能在几个小时内写出利用程序。美国 RunSafe Security 的首席技术官肖恩·弗赖说，过去几个月 AI 已经用实际表现证明，行业必然改变：「发生根本性变化、而且毫无争议的，是时间。不仅发现漏洞所需的时间变了，攻击者把漏洞转化为攻击手段的速度也变了。」

Cloudflare 首席执行官马修·普林斯的说法更形象：「我知道，其他一些关键软件中还存在不少严重漏洞。我认为，接下来两年，我们每个星期都会觉得天要塌了。」他预计，随着 AI 陆续发现互联网基础设施中长期隐藏的隐患，网络安全行业未来几个月会异常忙碌。

分歧在于「会不会真的被打」

专家们在一件事上是一致的：留给防守方修补的时间越来越少。但对 AI 是否会导致黑客攻击泛滥，看法并不统一。

文件传输工具 curl 的主要开发者丹尼尔·斯滕伯格认为，AI 找到的漏洞往往比较特殊，恶意攻击者很难真正利用。网络安全公司 ArmorCode 的专家拉米·拉赫曼也说，披露的漏洞越来越多，并不意味着成功发动的网络攻击必然随之增加。

本周的 PHP 漏洞提供了初步佐证。威胁情报公司 Hunt.io 称，确实监测到有人密集尝试利用漏洞发动攻击，和亚马逊、Cloudflare 观察到的情况类似。但研究主管埃斯特万·博尔赫斯指出，截至美东时间周四下午两点，从追踪结果看，网络犯罪分子还没做出能实际利用该漏洞的有效工具。

普林斯则表示看到过部分系统被入侵的零星迹象，与 PHP 漏洞有关。他倾向于认为，AI 大量发现漏洞虽然冲击很大，长远看仍然利大于弊。

趋势洞察

普林斯打了个比方：清理鬼屋里的怪物，正面交锋当然可怕，但任由它们躲在紧闭的门后，后果更严重。「现实是，我们将能够清除大量安全隐患。」

这个比喻点出了 AI 在这件事上的双重身份。它让攻击变快，也让隐患更早暴露。真正的变量不是漏洞数量，而是修补速度：如果 AI 能同样快地定位问题、生成补丁、自动验证，防守方就能重新拿回一点主动权。

对普通人来说，能做的事其实很有限但很有效：系统和软件及时更新，别关掉自动升级；重要账号开启两步验证；不常用的服务该关就关。对整个行业来说，更该补的是流程：把「发现漏洞」到「完成修补」的链路自动化，别让防守方还靠人工排期。时间差已经被压缩，流程不改，压力只会越来越大。