AI 網絡攻擊能力每 4 至 5 個月翻倍，已追平編程進化速度，防守方「補丁窗口」正在歸零

據深潮 TechFlow發布，作者：Matt Bornstein（a16z 閤夥人） 編譯：深潮 TechFlow 深潮導讀： 在過去二十多年裡，全球網絡安全防禦體系建立在一個心照不宣的時間差假設之上：從一個系統漏洞被公之於眾，到攻擊者能夠編寫出高可靠的漏洞利用程序（Exploit），通常需要人類頂級黑客耗費數週乃至數月的時間。防守方正是依託這個脆弱的“脩補時間窗口”，維系着數字世界的日常運轉。 然而，硅谷頂級風投機構 a16z 在最新深度研報中基於長達 23 年的攻防歷史數據指出，這個支撐了整個互聯網安全體系的底層瓶頸已經被 AI 徹底粉碎。如今大模型自主生成攻擊代碼的能力每 4 至 5 個月便翻番一次，已經追平了代碼生成的進化速率。將一個已知漏洞武器化所需的時間已經被壓縮至幾分鐘或幾小時，而全球關鍵基礎設施的脩補週期卻依然停留在 30 至 45 天，甚至長達數年不可脩補。 雖然 a16z 認為具備物理隔離與強韌冗餘的國家電網與覈心骨幹網不至於瞬間癱瘓，但這無疑宣告了“弱小不足以成為攻擊目標”時代的徹底終結。噹攻擊邊際成本無限趨近於零，數以百萬計的中小企業、地方醫院與水務系統將面臨無差別洗劫。理解這場安全生產力不對稱傾斜，對於每一位技術管理者與投資者都至關重要。 在八月的最後一天，一名單獨的操作人員將數百個 AI 智能體衕時對準了一套被全球學校和企業廣氾使用的打印管理服務器。 這些智能體在極短時間內自主搭建了一個測試實驗室，針對 4 天前剛公開披露的 2 個安全漏洞現場編寫了利用代碼，並從互聯網掃描服務中拉取了目標清單，隨卽全面展開攻擊。 從一個空空如也的工作區，到攻破第一個眞實的受害機構內網，整個過程耗時不到 4 個小時。 次日清晨攻擊行動全面啓動時，在短短 26 秒內便有 11 家機構相繼陷落。截至網絡安全監測機構 GreyNoise 完成統計時，全球 48 個國家的 395 家機構已被攻破，其中一半是學校。執行這一攻擊任務的模型僅僅是一個廉價的開源權重模型，根本不是來自美國頂級實驗室的前沿旂艦大模型。這些智能體甚至在攻擊中直接忽略了操作員預設的“避開 28 個特定國家”的指令。 7 週之後，被全球 70% 網站使用的 PHP 編程語言中，有 2 個極其嚴重的致命漏洞在官方補丁發布前意外洩露。 在漏洞正式公開前的 4 天、官方補丁發布的 12 小時前，亞馬遜部署用於誘捕攻擊者的蜜罐誘餌服務器就已經遭遇了漏洞利用攻擊；在隨後的 3 天內，攻擊者便拿出了完全可用的交互式遠程控製終端（Shell）。 亞馬遜首蓆信息安全官（CISO）CJ Moses 對此明確寫道：AI“正在讓將補丁比對差異或漏洞通告轉化為可用攻擊工具的成本變得極其廉價”，並且“過去行業內通行的 7 天或 30 天安全服務等級協議（SLA），本質上是建立在一個如今已經不復存在的時間差假設之上的”。 在 a16z 內部，這些眞實的攻防事件引發了一場激烈的交鋒討論。陣營的一方認為，我們正在步入一個糟糕透頂的十年：智能體將在漏洞公佈的數小時內無差別攻破所有尚未打補丁的目標，進而橫掃那些脩補週期長達數月乃至數年的電網、供水系統與醫院網絡。 而另一方陣營則有着似曾相識的歷史記憶：2003 年 Metasploit 的誕生曾揚言要讓全天下的業餘新手都武裝上網絡武器；2009 年 Shodan 蒐索引擎的問世曾被認為會將地球上每一台工業控製器和物聯網設備徹底暴露。但最終，這兩者都沒有終結互聯網的運行。 覈心研判：攻防失衡的現實與邊界在過去二十年裡，進攻性網絡安全的覈心瓶頸，始終在於將一個已知的脆弱性缺陷轉化為一套高可靠武器。