AI发现了互联网隐藏多年的漏洞，修复它们的人快忙不过来了

凤凰网科技讯 北京时间10月29日，据《纽约时报》报道，AI正在以前所未有的速度发现软件安全漏洞，负责修复问题的工程师却越来越难跟上。科技公司与开源软件维护者正加紧修补，争取赶在黑客利用这些漏洞之前，保护支撑大量网站和网络服务的软件。

10月21日，负责OpenAI网络安全准备与安全工作的福阿德·马廷（Fouad Matin），原本打算晚上与朋友庆祝生日。

但当天，他只睡了大约两个小时，一直忙着协调修复两处由AI发现的严重安全漏洞。这些漏洞一旦被利用，可能对大范围互联网服务造成冲击。参与处理的人员包括初创公司和科技巨头的安全研究员，以及美国和其他国家的政府官员。

他的待办清单上，还有更多AI发现的漏洞等着修复。

马廷表示，OpenAI已安排多个团队专门负责网络安全，并投入大量算力寻找和修复问题。他认为，AI公司有责任处理这项技术揭示出的风险，最终目标是尽可能扫描和修补全球的软件。

发现漏洞的速度大幅提升，正在给修复漏洞的人带来前所未有的压力。

据OpenAI介绍，公司从今年5月开始使用自家技术扫描开源软件。此后，内外部研究人员已经利用其模型发现超过1300个漏洞。这类软件可以免费使用，被广泛部署在各类网络服务中，支撑着互联网的大量功能。

谷歌今年6月也利用AI在Chrome浏览器中发现并修复了1072个漏洞，超过此前两年修复的总数。今年以来，Chrome修复的严重漏洞数量，已经超过此前八年的总和。

微软仅在今年10月就发布了1461个补丁，超过2025年全年的1247个。

在部分软件维护者看来，这种工作强度可能才刚刚开始。

马泰奥·科利纳（Matteo Collina）是初创公司Platformatic的首席技术官，同时参与维护开源开发工具Node.js。Uber、Netflix等科技公司都在使用这款工具。

“现在出现的还只是最初的一点，情况会再严重十倍。”科利纳说。

据支持Node.js的非营利组织OpenJS基金会介绍，Node.js今年已经确认并修复50处安全漏洞，超过其历史上任何一年。今年2月，该项目收到的漏洞报告数量达到平时的4.6倍。

本月，OpenAI又联系科利纳，提醒他注意一处新发现的漏洞。潜在攻击者可能利用它入侵互联网上的系统，窃取数据。

为了处理不断增加的报告，科利纳如今每周工作七天，晚上还让AI智能体继续替自己处理任务。

“已经没有人知道，这个职业以后会变成什么样了。”他说。

过去，寻找软件漏洞是一项高度依赖个人经验的工作。科技公司雇用安全研究员检查代码，也通过“漏洞赏金”计划，付费鼓励白帽黑客发现并报告问题。

AI正在改变这项工作的速度与价值。

它可以持续搜索，在人类研究员可能放弃的地方继续尝试，也能够检查分散在不同代码中的细小缺陷，再将它们组合成危险的攻击方式。

PHP基金会安全工程师沃尔克·杜施（Volker Dusch）对此感受明显。该基金会参与维护编程语言PHP，上周披露了一处由AI发现的严重漏洞。

杜施表示，两年前，发现一个安全漏洞还是一件很了不起的事，如今这件事带来的同行认可正在减弱，整个行业对这项工作的评价方式都在变化。

不过，漏洞报告的增加也带来了大量额外负担。

从去年年底开始，开源软件维护者就注意到报告数量明显上升。其中一些确实揭示了严重威胁，另一些则是AI生成的低质量报告，内容混乱，也未经测试。

今年1月下旬，开源项目curl宣布停止支付漏洞赏金，原因便是难以应付大量涌入的报告。

与此同时，AI的攻击能力也让防守方越来越紧张。

今年4月，Anthropic表示，其开发的Mythos模型具备很强的黑客攻击能力，无法安全地向公众开放。公司随后通过名为Project Glasswing的计划，将模型提供给一批受信任的企业和政府机构，用于检查和修补系统。OpenAI和谷歌也向防守方提供了专注网络安全的AI模型。

但能够寻找和利用漏洞的模型，已经越来越容易获得。

AI评测公司Vals AI近期设置了一项模拟攻击任务，要求模型入侵一家虚构公司。测试结果显示，OpenAI一款仅向获批防守方开放的先进模型完成了81%的测试目标；紧随其后的是中国公司DeepSeek的一款可自由获取的模型，完成率为73%。

随着这类能力扩散，硅谷的安全团队正加快排查。他们担心，同一处漏洞可能很快也会被攻击者发现。

PHP的一次修复过程，呈现了这种压力具体落在谁身上。

今年7月，网络安全公司Calif的研究人员开始让AI智能体检查PHP。据报道，约70%的网站使用这种编程语言。研究团队发现，一处在代码中隐藏了十多年的漏洞，可能让攻击者在受影响的网站上运行恶意代码。

随后，Calif联系了杜施，以及发现类似漏洞的谷歌旗下安全公司Wiz的研究人员。OpenAI和PHP基金会的工程师也加入其中。

团队在一个保密的Slack频道里连续协作数周，每天通过电话协调修复工作。Calif首席执行官泰·杜昂（Thai Duong）表示，修复涉及约200个文件，是一次规模庞大的补丁更新。

在准备补丁的同时，他们还通知了政府机构、互联网基础设施公司Cloudflare等组织，希望尽可能扩大修复覆盖范围。

漏洞已经找到，却还没有完成广泛修复的这段时间，成为参与者最紧张的阶段。

Cloudflare首席执行官马修·普林斯（Matthew Prince）表示，过去两个月，他一直处于极度恐惧之中，担心其他人提前发现漏洞，或者相关信息在补丁准备就绪之前泄露。

他预计，未来两年，平均每周都可能出现一处影响范围遍及互联网的严重漏洞。

安全行业内部，对接下来的形势存在不同判断。

Anthropic副首席信息安全官杰森·克林顿（Jason Clinton）10月22日在社交媒体上表示，尽管过去四天的情况已经很糟，接下来还会进一步恶化，之后才可能好转。

普林斯则认为，发现这些长期存在的问题，最终会让互联网变得更安全。他预计，未来两年的感受会非常糟糕，但在完成这一轮修复后，人们有望迎来一个安全得多的互联网。（编辑/于雷）

更多一手新闻，欢迎下载凤凰新闻客户端订阅凤凰网科技。想看深度报道，请微信搜索“凤凰网科技”。