- 发布日期
AI发现了互联网隐藏多年的漏洞 修复它们的人快忙不过来了
- 作者
- 姓名
- 荷鲁斯快报
- 社交账号
10月21日，OpenAI网络安全负责人福阿德·马廷原本打算与朋友庆祝生日，最终却只睡了约两个小时，一直忙着协调修复两处由AI发现的严重安全漏洞。这些漏洞一旦被利用，可能对大范围互联网服务造成冲击。参与处理的人员既有初创公司与科技巨头的安全研究员，也有美国及其他国家的政府官员。
马廷的待办清单上，还有更多漏洞等着修复。据OpenAI介绍，公司自今年5月起用自家技术扫描开源软件，内外部研究人员借助其模型已发现超过1300个漏洞。这类免费软件被广泛部署在各类网络服务中，支撑着互联网的大量功能。马廷表示，OpenAI已安排多个团队专责网络安全，并投入大量算力寻找和修复问题。
发现速度的提升在各大公司数据中清晰可见。Google今年6月用AI在Chrome浏览器中发现并修复1072个漏洞，超过此前两年修复的总数，今年以来Chrome修复的严重漏洞数量已超过此前八年总和。微软仅今年10月就发布了1461个补丁，超过2025年全年的1247个。
冲击直接落在维护者身上。初创公司Platformatic首席技术官马泰奥·科利纳参与维护Uber、Netflix等使用的开源工具Node.js。据OpenJS基金会介绍，该项目今年已确认并修复50处安全漏洞，超过历史上任何一年，今年2月收到的漏洞报告数量达到平时的4.6倍。为了应付不断增加的报告，科利纳每周工作七天，晚上还让AI智能体替他继续处理任务。
AI正在改变寻找漏洞的速度与价值：它可以持续搜索，在人类研究员可能放弃的地方继续尝试，还能把分散在不同代码中的细小缺陷组合成危险的攻击方式。但报告激增也带来大量额外负担，其中一些是AI生成、未经测试的低质量内容。今年1月下旬，开源项目curl便因难以应付涌入的报告，宣布停止支付漏洞赏金。
PHP基金会上周披露的一处严重漏洞同样由AI发现，约70%的网站使用这种编程语言。今年7月，安全公司Calif的研究人员让AI智能体检查PHP，发现一处隐藏十多年的漏洞，可能让攻击者在受影响的网站上运行恶意代码。Calif随后联系基金会安全工程师沃尔克·杜施以及Google旗下Wiz的研究人员，OpenAI工程师也加入其中。团队在保密频道连续协作数周，修复涉及约200个文件，并提前通知了Cloudflare等互联网基础设施公司。
防守方同时面临攻击能力扩散的压力。Anthropic今年4月称，其Mythos模型黑客攻击能力过强，无法安全向公众开放，随后通过Project Glasswing计划提供给受信任的企业和政府机构。但在AI评测公司Vals AI的模拟入侵任务中，OpenAI一款仅向获批防守方开放的先进模型完成了81%的测试目标，中国公司DeepSeek一款可自由获取的模型完成率为73%。
Cloudflare首席执行官马修·普林斯表示，过去两个月他一直处于极度恐惧之中，担心其他人提前发现漏洞，或相关信息在补丁就绪前泄露。他预计，未来两年平均每周都可能出现一处影响范围遍及互联网的严重漏洞，但认为这一轮修复完成后，人们有望迎来一个安全得多的互联网。
