人工智能正在使软件漏洞的发现量翻倍，网络安全专家警告称这可能会引发更多系统故障

据七位接受路透社采访的网络安全专家称，随着人工智能技术的进步，发现了一系列新的软件漏洞，这些漏洞几乎肯定会引发更多类似本周全球政府网站大规模宕机那样的混乱。马萨诸塞州威胁情报公司VulnCheck即将发布的研究报告显示，人工智能技术推动了数字漏洞数量的年均翻倍——这一速度正在重写行业对防御者应对时间的认知。

云基础设施公司Cloudflare首席执行官马修·普林斯告诉路透社，他已知晓其他关键软件中存在大量严重漏洞，并预测未来数月将十分忙碌，因为人工智能将揭示互联网基础设施中长期隐藏的弱点。普林斯在周四接受采访时表示："未来几年，我们每周都会感觉天要塌下来了。"

从周三开始，欧洲及其他地区政府网站相继出现宕机事件，原因是PHP（一种为互联网巨头提供支持的成熟编程语言）被发现存在漏洞。为防范大规模攻击，运营商紧急修复软件——但部分厂商因担心在黑客入侵前无法及时补丁，干脆将网站下线以确保安全。这一极端预防措施导致从东京到赫尔辛基的数字政务服务全面中断。

VulnCheck研究员帕特里克·加里蒂表示，在网络安全领域本就忙碌的一周里，修复PHP漏洞的紧急行动接踵而至：这一周还曝光了PHP替代品Node.js和流媒体平台Plex的漏洞、与AI网关LiteLLM和开发平台Railway相关的数据泄露事件，以及印度证书机构eMudhra使用极其脆弱的加密密钥，可能使全球互联网用户面临风险。"如果一周内我们只遇到四五起类似事件，我会认为未来还会有更多类似情况出现，"加里蒂说，"我认为任何面向互联网的系统都将面临更多防御演习。"

防御者的时间表被打破

现代应用程序的代码库日益庞大，隐藏潜在漏洞的错误往往出现在意想不到的地方。过去，发现漏洞需要基础技能，而将这些漏洞转化为数字开锁工具（即漏洞利用代码）可能需要经验丰富的专业人员数周或数月的工作。这种延迟为防御者提供了修复漏洞和逐步部署软件更新的缓冲时间，让对手无机可乘。

但人工智能有效打破了这些假设。模型可以通过全天候扫描代码库，快速发现一个又一个漏洞，并在数小时内完成漏洞利用代码的开发。弗吉尼亚州RunSafe Security公司的首席技术官谢恩·弗莱表示，最近几个月人工智能模型展示的性能消除了人们对其是否会改变行业的疑虑。"从根本上、无可置疑地改变的不仅是发现漏洞的时间尺度，还包括对手利用漏洞的速度。"弗莱说。

💦 海绵城市是否意味着黑客大规模攻击？

🤖 尽管所有Reuters采访的专家都认为防御者的时间窗口在缩短，但他们对人工智能是否会导致黑客大规模攻击存在分歧。Daniel Stenberg，广泛使用的文件传输工具curl的主要开发者，认为由AI发现的漏洞往往是难以被恶意行为者利用的稀有bug。Ramy Rahman，阿摩科德（ArmorCode）高级主解决方案工程师表示，公开披露的漏洞并不意味着攻击成功率必然增加。

💀 关于本周引发全球关注的PHP漏洞，威胁情报公司 Hunt.io 表示，类似于亚马逊和Cloudflare，他们已经观察到恶意行为者对该漏洞进行了积极尝试利用——但该公司研究主管Esteban Borges表示，截至东部时间周四下午2点，他们跟踪的黑客团伙似乎尚未构建出可利用的攻击工具。Prince则告诉Reuters，他观察到与PHP漏洞相关的部分渗透事件，从而保持了风险评估的公正性，两边都持平。

🌧️ 由人工智能驱动的大量发现可能让行业感到震惊，但最终将是正面影响，Prince认为，这类似于在鬼屋中面对怪物：对抗可能会让人感到恐惧，但让怪物悄悄藏在门后长期存在，远不如现在机器速度清理互联网老旧基础设施的“长久性审计”更好。他表示，我们将会有很多这样的事情被整理干净。

🌏 对孟加拉国数字经济意味着什么

💻 对孟加拉国而言——这个曾因PHP服务中断而导致孟加拉银行出于预防将官网关闭的国家——这一警示尤为尖锐。该国银行、政府门户网站、电商平台以及快速发展的软件出口行业都依赖于同一个全球软件栈，而人工智能正在逐一暴露其中的隐藏漏洞。这既是双刃剑：孟加拉企业需承受恶意利用风险加剧的风险，但也能获得同样的AI辅助扫描和补丁修复工具，这些工具正在提升全球安全基准。

🚀 战略应对措施如今已广为人知：清查所有在用的系统和库，开展常规而非临时性的漏洞扫描，建立能在数小时内响应的安全运营中心，以及将补丁易用性视为产品特性的采购规则。从金融科技到业务流程服务等面向出口市场的企业，甚至能将安全合规转化为商业优势：可验证的安全实践正日益成为国际合同尽职调查的核心要素。

🔭 业界给出的两难结论——漏洞发现增多，但并不意味着攻击事件必然增加——表明成败关键不在于技术本身，而在于应对措施。那些将未来数年充斥天崩地裂式头条的机构，将借此机会强化纪律性；而那些将每一次警告视为噪音的企业，终将发现应急预案从未经过实战检验。AI让软件安全隐患更加显著，但如何应对这些警示，完全取决于企业的自主行动。