网络攻击愈发猖獗，防御方能否用AI扳回一城？

10月中旬以来，网络安全事件密集爆发。编程智能体OpenCode遭攻击泄露用户第三方模型密钥；全球近七成网站使用的PHP开源编程语言被曝重大漏洞，不少网站因此关停。Axios报道称，AI Agent正对美国银行系统发起“总攻”，速度超过金融机构反应能力。

攻击者利用AI大规模、低成本寻找漏洞，防御方疲于奔命。摩根士丹利、美国银行等主流机构正加急处理相关风险。网安领域如何更好利用AI拿出应对方案，成为关注焦点。

10月23日，Anthropic与Theorem Labs发布报告《大模型正让形式化软件验证在更大规模上变得可行》。Claude模型针对123个开源软件库的239个程序入口，生成约1.8亿行Rocq证明代码，发现并修复数百个Bug，包括曾历经数万亿次测试仍未发现的漏洞。

研究核心突破在于将验证推进到汇编指令层面，以RISC-V指令集为基础进行证明。开发者解读称，AI以往多用于“查虫”，本质是提速传统测试；形式化验证通过数学证明，确认程序在给定条件下满足特定安全性质。过去依赖专业人员、成本高耗时长，如今得以规模化。

Anthropic指出，大多数软件存在漏洞，AI可轻松发现并利用，主流防御手段已无法满足要求。此次是首次大规模利用AI在汇编代码层面将形式化验证应用于生产软件。但形式化验证只能证明程序在特定假设、约束和验证范围内满足预设性质，不意味着整个软件“绝对安全”。攻击者只需找到一个漏洞，防御者却必须保护整个系统，修复部署与第三方依赖仍需大量工作。

尽管尚不能马上扭转攻防局势，开发者社区多数讨论仍抱乐观态度。知名AI与Web技术博主Pratham表示，这可能是“目前AI所取得的成就中明显被低估的一个”，随着网络安全问题更棘手，“我们尤其需要在这一领域取得更多进展”。

把任意网站变成干净 JSON

现成爬虫与 AI 智能体

试用 Apify