Raphael Satter/AJ Vicens

路透華盛頓10月23日 - 據七位接受路透採訪的網絡安全專家稱，人工智能的進步已揭示出一系列新的軟件漏洞，這些漏洞幾乎肯定會引發更多類似本周 (link) 事件那樣的中斷，該事件曾波及全球多個政府網站。

據總部位於馬薩諸塞州的威脅情報公司VulnCheck即將發布的研究報告顯示，人工智能推動了今年發現的數字漏洞數量按年翻了一番。

數字基礎設施公司Cloudflare NET.N 的首席執行官馬修·普林斯（Matthew Prince）告訴路透，他了解到「其他關鍵軟件中還存在大量其他嚴重漏洞」，並預測未來幾個月將非常忙碌，因為人工智能正揭示出互聯網架構中長期隱藏的弱點。

「我認為未來幾年裏，每周都會讓人感覺天要塌下來了，」普林斯周四在接受採訪時說道。

自周三起席捲歐洲及其他地區政府網站的故障，源於在PHP中發現的漏洞——這種歷史悠久的編程語言支撐著互聯網的絕大部分。運營商們正爭分奪秒地修復軟件，以防漏洞被大規模利用；由於部分運營商擔心無法在黑客發起攻擊前完成修補，其中一部分乾脆將網站下線 (link)，直到確保安全為止。

VulnCheck研究員帕特里克·加里蒂（Patrick Garrity）表示，在網絡安全領域本就繁忙的一周裏，修復PHP漏洞的緊急行動又接踵而至。本周還披露了PHP替代方案Node.js的漏洞，以及流媒體程序Plex的漏洞，與AI網關LiteLLM及開發平台Railway相關的數據泄露事件，以及印度證書頒發機構eMudhra曾使用過一種極其脆弱的加密密鑰 (link)，這可能使互聯網上的用戶面臨風險。

「如果僅是這一周就出現了四五起此類事件，我預計今後還會出現更多，」加里蒂說道，「我認為，對於任何暴露在互聯網上的系統，都將面臨更多緊急應對的情況。」

時間線不斷縮短

運行現代程序的代碼庫日益龐大，而那些可能為攻擊者打開可乘之機的錯誤（即「漏洞」）往往出現在意想不到的地方。

此前，發現漏洞需要具備一定基礎技能，而利用這些漏洞構建數字「開鎖工具」（即「漏洞利用程序」），通常需要經驗豐富的專業人員花費數周甚至數月的時間。

這在過去曾為防禦方提供了一點喘息空間，以便修復漏洞並平穩地推出軟件更新。

人工智能已徹底顛覆了這些假設 (link)。這些模型通過對代碼庫進行全天候審查，能夠接連發現一個又一個漏洞，並在數小時內開發出利用程序。總部位於弗吉尼亞州的 RunSafe Security 公司首席技術官肖恩·弗萊（Shane Fry）表示，過去幾個月來人工智能模型所展現的性能，已徹底消除了人們對其能否改變該行業的任何疑慮。

「從根本上說，且毋庸置疑的是，不僅漏洞的發現時間正在發生變化，攻擊者將漏洞武器化的速度也在發生變化，」弗萊說道。

令人恐懼的怪物

儘管路透採訪的所有專家都認同防禦方的響應時間正在縮短，但在人工智能是否會導致黑客大行其道這一問題上，他們的看法卻存在分歧。

文件傳輸工具curl的首席開發者丹尼爾·斯滕貝格（Daniel Stenberg）認為，AI模型發現的漏洞往往是罕見的、難以被惡意行為者利用的漏洞。網絡安全公司ArmorCode的高級首席解決方案工程師拉米·拉赫曼（Ramy Rahman）表示：「披露的漏洞越多，並不一定意味着成功的攻擊就越多。」

本周引發全球關注的PHP漏洞事件，就提供了這方面的初步證據。 威脅情報公司 Hunt.io 表示，與亞馬遜 (link) AMZN.O 和 Cloudflare 一樣，他們也觀察到了利用該漏洞的積極嘗試。但該公司研究主管埃斯特班·博爾赫斯（Esteban Borges）稱，截至周四東部時間下午 2 點 (GMT 18:00)，他追蹤到的網絡犯罪分子 (link) 似乎未能成功拼湊出可利用該漏洞的有效工具。

Cloudflare公司的普林斯（Prince）告訴路透，他已看到與該PHP漏洞相關的入侵案例的軼事證據。

他表示， 這股由人工智能驅動的發現浪潮雖可能令業界感到不安，但最終將帶來淨收益，並 將其比作 在鬼屋中消滅怪物。

他說，這種對抗雖然令人恐懼，但讓怪物們在緊閉的門後悄然潛伏要糟糕得多。

「現實情況是，我們將清理掉大量此類問題，」他說。