0-day攻击泛滥成灾，AI真的能成为安全救星吗？

补丁管理的失败与“修复不是瓶颈”的真相

十月底，纽约时报和NPR几乎在同一时间报道网络安全的事来源：HH。十月是“网络安全意识月”，结果我们交出的成绩单是主流媒体同时报道多起重大漏洞事件。我手头同时烧着至少四五个火堆来源：HH。零日漏洞像雨点一样落下来，预警和禁运规则为了营销被撕得粉碎。AI公司争先恐后地比赛谁犯的罪更多，完了回头卖你一个“保护”，把零日漏洞砸向开源社区。这局面撑不下去。我得把来龙去脉讲清楚。

作者早就强调过，开发修复代码不是瓶颈来源：HH。真正拖住防守方的，是修复完成之后的评估、确认和部署。漏洞代码写完，你还得先评估这个漏洞在你环境里的可利用性，然后花时间摸清与攻击向量相关的攻击面，最后部署修复。这几步每一步都要消耗人力和时间，而漏洞披露的速度远远快于防守方跟上的速度。补丁管理多年来的失败命题，正是卡在这里。行业一直在宣传修复流程多快多敏捷，可现实是，代码写完只是开始。

拿最近披露的PwnEscape（CVE-2026-99999）来说，它最初被当作“KVM逃逸”公开，后续才发现同样适用于其他虚拟化方案和容器，这个角度一开始根本没得到多少关注来源：HH。这意味着你面对的不只是一个漏洞，而是一类漏洞。开发出修复代码只算完成了一小步。你得评估舰队里各种可能的缓解措施，决定是livepatch还是等上游操作系统商交付新内核，然后重启几千台系统。这个流程走一遍，几天就没了。

补丁管理之所以多年来一直是失败命题，是因为防御者跟不上披露的节奏。作者用“至少四五个同时燃烧的火堆”来量化当前的局面，这并非孤例来源：HH。纽约时报和NPR同时报道这些事，说明问题已经进入主流视野。但主流视野并没有让工作变少。每个漏洞背后都有一整套评估、决策、部署流程，而AI公司还在忙着互相竞争。他们比的是谁先犯下更多罪行，防御反倒成了副业。

AI能救吗？作者说得很直白，你没法用AI把自己从这泥潭里拖出来来源：HH。现在AI公司竞争谁犯的罪多，完了再假惺惺卖你防护。最讽刺的是，你花几千美元token，用最尖端的网络安全模型去开发自己的东西，最后发现不过是把攻击变得更便宜更快。这更像是对开源社区的拒绝服务。这就是现状，而现状不可持续。你越是依赖AI来防守，越会发现它只是在加速攻击侧的演进。

漏洞发现方式已经根本改变，披露流程实际已经破了，补丁管理多年失败来源：HH。我越来越确定，靠AI填坑是死路。别指望某个模型来拯救，回到最朴素的防御。搞清楚自己的攻击面，评估缓解措施，部署修复。每一步都得人来干，AI顶多帮你查资料。这不可持续，但至少我们知道该把力气花在哪。我不确定AI未来能不能做到，但眼下，它做不到。

原文：

This Is Not Sustainable: On Cybersecurity and AI · 来源：Hacker News

作者：itfan123 值班编辑 · 发布于 2026年10月28日