焦点-网络安全专家表示，由人工智能发现的漏洞可能很快会引发新一轮的混乱

Raphael Satter/AJ Vicens

路透华盛顿10月23日 - 据七位接受路透采访的网络安全专家称，人工智能的进步已揭示出一系列新的软件漏洞，这些漏洞几乎肯定会引发更多类似本周 (link) 事件那样的中断，该事件曾波及全球多个政府网站。

据总部位于马萨诸塞州的威胁情报公司VulnCheck即将发布的研究报告显示，人工智能推动了今年发现的数字漏洞数量同比翻了一番。

数字基础设施公司Cloudflare NET.N 的首席执行官马修·普林斯（Matthew Prince）告诉路透，他了解到“其他关键软件中还存在大量其他严重漏洞”，并预测未来几个月将非常忙碌，因为人工智能正揭示出互联网架构中长期隐藏的弱点。

“我认为未来几年里，每周都会让人感觉天要塌下来了，”普林斯周四在接受采访时说道。

自周三起席卷欧洲及其他地区政府网站的故障，源于在PHP中发现的漏洞——这种历史悠久的编程语言支撑着互联网的绝大部分。运营商们正争分夺秒地修复软件，以防漏洞被大规模利用；由于部分运营商担心无法在黑客发起攻击前完成修补，其中一部分干脆将网站下线 (link)，直到确保安全为止。

VulnCheck研究员帕特里克·加里蒂（Patrick Garrity）表示，在网络安全领域本就繁忙的一周里，修复PHP漏洞的紧急行动又接踵而至。本周还披露了PHP替代方案Node.js的漏洞，以及流媒体程序Plex的漏洞，与AI网关LiteLLM及开发平台Railway相关的数据泄露事件，以及印度证书颁发机构eMudhra曾使用过一种极其脆弱的加密密钥 (link)，这可能使互联网上的用户面临风险。

“如果仅是这一周就出现了四五起此类事件，我预计今后还会出现更多，”加里蒂说道，“我认为，对于任何暴露在互联网上的系统，都将面临更多紧急应对的情况。”

时间线不断缩短

运行现代程序的代码库日益庞大，而那些可能为攻击者打开可乘之机的错误（即“漏洞”）往往出现在意想不到的地方。

此前，发现漏洞需要具备一定基础技能，而利用这些漏洞构建数字“开锁工具”（即“漏洞利用程序”），通常需要经验丰富的专业人员花费数周甚至数月的时间。

这在过去曾为防御方提供了一点喘息空间，以便修复漏洞并平稳地推出软件更新。

人工智能已彻底颠覆了这些假设 (link)。这些模型通过对代码库进行全天候审查，能够接连发现一个又一个漏洞，并在数小时内开发出利用程序。总部位于弗吉尼亚州的 RunSafe Security 公司首席技术官肖恩·弗莱（Shane Fry）表示，过去几个月来人工智能模型所展现的性能，已彻底消除了人们对其能否改变该行业的任何疑虑。

“从根本上说，且毋庸置疑的是，不仅漏洞的发现时间正在发生变化，攻击者将漏洞武器化的速度也在发生变化，”弗莱说道。

令人恐惧的怪物

尽管路透采访的所有专家都认同防御方的响应时间正在缩短，但在人工智能是否会导致黑客大行其道这一问题上，他们的看法却存在分歧。

文件传输工具curl的首席开发者丹尼尔·斯滕贝格（Daniel Stenberg）认为，AI模型发现的漏洞往往是罕见的、难以被恶意行为者利用的漏洞。网络安全公司ArmorCode的高级首席解决方案工程师拉米·拉赫曼（Ramy Rahman）表示：“披露的漏洞越多，并不一定意味着成功的攻击就越多。”

本周引发全球关注的PHP漏洞事件，就提供了这方面的初步证据。 威胁情报公司 Hunt.io 表示，与亚马逊 (link) AMZN.O 和 Cloudflare 一样，他们也观察到了利用该漏洞的积极尝试。但该公司研究主管埃斯特班·博尔赫斯（Esteban Borges）称，截至周四东部时间下午 2 点 (GMT 18:00)，他追踪到的网络犯罪分子 (link) 似乎未能成功拼凑出可利用该漏洞的有效工具。

Cloudflare公司的普林斯（Prince）告诉路透，他已看到与该PHP漏洞相关的入侵案例的轶事证据。

他表示， 这股由人工智能驱动的发现浪潮虽可能令业界感到不安，但最终将带来净收益，并 将其比作 在鬼屋中消灭怪物。

他说，这种对抗虽然令人恐惧，但让怪物们在紧闭的门后悄然潜伏要糟糕得多。

“现实情况是，我们将清理掉大量此类问题，”他说。

(为便利非英文母语者，路透将其报导自动化翻译为数种其他语言。由于自动化翻译可能有误，或未能包含所需语境，路透不保证自动化翻译文本的准确性，仅是为了便利读者而提供自动化翻译。对于因为使用自动化翻译功能而造成的任何损害或损失，路透不承担任何责任。)