AI 能发现比以往更多的漏洞，但接下来该怎么做，仍须由人来决定。

多年来，网络安全团队一直秉持一个简单的假设：只要能更快地发现更多漏洞，软件就会更加安全。

人工智能正在检验这一假设。随着更广泛的 AI 讨论从快速采用转向衡量实际价值，网络安全领域暴露出一个不会随着 AI 发展放缓而消失的难题。各类组织已经面临越来越多由 AI 生成的漏洞发现结果，而这些结果仍需人工验证、确定优先级并修复。

Project Glasswing最近公布的发现提供了迄今最鲜明的例证之一。据报道，Claude Mythos Preview 在短短几个月内就在多个软件项目中发现了超过 26,000 个漏洞。然而，根据对 Glasswing 公开披露台账的独立分析，这些发现中只有约 10% 进入了披露流程，最终得到修补的还不到 1%。

这些数字令人瞩目，但并不意外。几十年来，整个行业一直在优化漏洞发现能力，却没有建立起能够按照 AI 的规模处理漏洞发现结果的能力。

网络安全领域的瓶颈不再是发现漏洞，而是发现之后会发生什么。

发现漏洞从来都不是最难的部分

在一份关于 Project Glasswing 的早期更新中，Anthropic 指出，进展越来越受到人工工作的制约，而不是漏洞发现本身：验证报告、协调披露以及支持修复工作都需要投入人力。该公司还提到，有些维护者要求放慢披露速度，因为他们没有足够能力处理不断产生的大量发现结果。

这一区别很重要，因为发现漏洞和修复漏洞本质上是两项截然不同的工作。

漏洞发现正日益成为模式识别问题。现代 AI 系统擅长分析大型代码库、识别异常行为、追踪执行路径并找出潜在弱点。

修复漏洞则是另一回事。修复漏洞需要结合具体情境。必须有人判断问题是否确实存在，了解其潜在影响，评估可能的修复方案，确保改动不会引入回归问题，协调披露时间安排，与利益相关方沟通，并最终为结果承担责任。

最后这一点至关重要。AI 可以识别潜在漏洞，却无法为后续发生的一切负责。验证、分流、修复和报告始终需要由对所维护项目负责的人来完成。而这会占用人们的时间，而他们往往还有全职工作、家庭以及其他需要分配精力的事务。在许多开源项目中，限制因素并非风险是否可见，而是维护者和安全团队是否有能力负责任地评估并应对不断增加的大量发现结果。

这正是漏洞发现与修复之间的根本区别。AI 越来越能够帮助我们扩大漏洞发现的规模；但漏洞修复仍有赖于具备相关背景知识、权限和责任担当的人，依据 AI 的发现采取行动。

开源领域面临的挑战

在整个开源生态系统中，这种情况尤为明显。商业代码库中有 98% 包含开源组件，这意味着全球绝大多数数字基础设施都依赖由相对少数贡献者维护的项目。

许多情况下，负责维护这些关键软件的人是志愿者，或是在全职工作和个人事务之余兼顾项目责任的人。随着 AI 增加软件的数量以及在软件中发现的漏洞数量，这些维护者能否跟上步伐，正成为安全问题中越来越重要的一环。

当 AI 系统突然针对某个项目生态系统生成数百甚至数千条潜在发现时，维护者便会成为制约因素。

这并不是在批评维护者，而是在反映现实。

早在 AI 驱动的漏洞发现技术出现之前，许多开源项目就已经苦于资源有限、安全要求不断提高以及维护负担日益加重。AI 正在加剧一个本就不堪重负的系统所承受的压力。

挑战不只是判断漏洞是否存在，更在于之后发生的一切。

必须有人审查报告。必须有人复现问题。必须有人判断问题是否构成安全风险。必须有人制定并测试修复方案。必须有人协调漏洞披露并发布更新。这些责任不能就这样被自动化取代。

随着 AI 生成的发现结果不断增加，依赖开源软件的组织将越来越依赖维护者群体的健康状况和可持续性。

为 AI 漏洞发现激增做好准备

那么，企业应该怎么做？首先，组织需要认识到，AI 驱动的漏洞发现并非未来才会出现的问题，而是已经在发生。Project Glasswing 展示了前沿模型发现漏洞的能力，其规模之大，几年前还难以想象。

其次，安全负责人应评估现有的漏洞修复流程能否随着漏洞发现能力的提升而扩展。许多组织投入大量资源寻找漏洞，却没有相应重视负责解决漏洞的人员和流程。

第三，企业应更加重视将软件维护作为一项安全职能。人们谈论安全时，往往着眼于预防和检测，但长期维护仍是风险管理中最重要、也最容易被忽视的组成部分之一。AI 或许让漏洞更容易被发现，但这并未减轻长期保障关键软件安全的责任。组织需要制定生命周期管理责任策略，以便有计划地推进现代化，而不是等风险出现后被迫仓促迁移或采取应急修复措施。

最后，组织应支持自己所依赖的更广泛生态系统。随着 AI 加快开源软件漏洞的发现速度，维护者将面临越来越多的要求。软件供应链的安全，归根结底取决于维护者是否拥有响应所需的资源。

AI 能更快地发现漏洞，但发现漏洞并不意味着软件就安全了。更艰巨的工作在于评估风险、确定轻重缓急、交付经过测试的修复方案，并长期维护软件安全。随着漏洞发现速度加快，组织将需要持续修复漏洞的能力，并以专业知识、责任担当和明确的服务等级为支撑。

因为网络安全领域最棘手的问题并非发现漏洞，而是接下来会发生什么。