网络安全专家：AI 发现的漏洞，很快或将引发新的安全隐患

网络安全领域的七位专家在接受路透社采访时表示，随着人工智能技术持续挖掘软件中的潜在漏洞，类似近期全球多国政府网站服务中断的事件，预计将频繁重演。

美国马萨诸塞州的网络威胁情报企业 VulnCheck 即将公开的报告指出，AI 促进了软件漏洞的识别速度，过去一年内发现的漏洞数量较前一年增加了一倍。

数字基础设施服务商 Cloudflare 的 CEO 马修·普林斯表示：“我清楚，其他一些关键软件中仍存在大量严重缺陷。……我认为，未来两年内，我们每周都会感到危机四伏。”

他预期，随着 AI 逐步发掘互联网基础设施中长期隐藏的风险，未来数月内网络安全领域将面临极高的工作强度。

据IT之家了解，本周欧洲及部分地区的政府网站出现服务中断，原因是广泛用于互联网的传统编程语言 PHP 被检测出安全漏洞。网站管理者随即紧急更新软件，以防止黑客大规模利用该漏洞发起攻击。部分运营者因担心来不及完成修复，选择先关闭网站，待确认安全后再恢复运行。

VulnCheck 研究员帕特里克·加里蒂表示，PHP 漏洞引发的紧急修复行动，使本已紧张的网络安全行业更加繁忙。本周，PHP 的替代技术 Node.js 和流媒体软件 Plex 也被曝存在漏洞，AI 网关 LiteLLM 和开发平台 Railway 涉及安全入侵事件。

此外，印度的数字证书颁发机构 eMudhra 被指使用安全性极低的加密密钥，可能危及全球互联网用户。“如果一周内就发生四五起类似事件，未来只会更多。只要系统直接连接互联网，就可能需要越来越频繁地紧急处理安全问题。”

现代软件的代码库规模庞大，程序错误常隐藏于意外之处，其中一些缺陷足以成为黑客入侵系统的突破口。

过去，发现程序漏洞需要专业技巧，而将漏洞转化为可攻击系统的工具，通常需要经验丰富的技术人员花费数周乃至数月。漫长的开发过程为防御方提供了缓冲时间，可以借此修补漏洞并逐步发布软件更新。

AI 打破了原有的时间差。AI 模型能够全天候审查软件代码，接连发现漏洞，并在几小时内开发出利用漏洞的攻击程序。

美国弗吉尼亚州网络安全公司 RunSafe Security 的 CTO 肖恩·弗赖指出，过去几个月，AI 模型已用实际行动证明，网络安全行业必将因此发生变革。“根本性的变化，且毫无争议的，是时间。不仅发现漏洞所需的时间改变了，攻击者将漏洞转化为攻击手段的速度也改变了。”

接受路透社采访的专家一致认为，留给防御方修补漏洞的时间正在缩短。但关于 AI 是否会导致黑客攻击泛滥，他们看法不一。

文件传输工具 curl 的主要开发者丹尼尔·斯滕伯格认为，AI 模型发现的漏洞往往较为特殊，恶意攻击者难以有效利用。

网络安全公司 ArmorCode 的高级首席解决方案工程师拉米·拉赫曼也指出：“披露的漏洞数量增多，并不意味着成功发动的网络攻击必然随之增加。”

本周引发全球关注的 PHP 漏洞，提供了一些初步证据。威胁情报公司 Hunt.io 称，与亚马逊和 Cloudflare 类似，该公司也观察到有人密集尝试利用该漏洞发起攻击。但 Hunt.io 研究主管埃斯特万·博尔赫斯指出，截至美东时间周四 14 时，从追踪结果看，网络犯罪分子仍未开发出能够实际利用该漏洞的有效工具。

Cloudflare 的普林斯则“看到过”部分系统遭到入侵的零星迹象，显示这些入侵事件与 PHP 漏洞有关。在他看来，AI 接连发现大量漏洞，虽会给网络安全行业带来冲击，但从长远来看仍利大于弊。

他将整个过程比作清除鬼屋中的怪物：与怪物正面交锋固然令人恐惧，但任由它们一直躲在紧闭的门后，后果却更为严重。“现实是，我们将能够清除大量安全隐患。”