微软借助 AI 修复更多 Windows 漏洞，补丁部署却进展缓慢

微软在 2026 年 11 月 5 日发布的 Windows 漏洞管理更新中表示，其 2026 年 10 月的安全更新修复了 1,100 多个 Windows 漏洞；与此同时，8 月的企业数据表明，更新发布数周后，许多设备仍未安装更新。

这篇文章由 Windows 服务与交付合作伙伴总监 Nuno Costa 撰写，延续了微软在 2026 年 7 月 9 日的早前沟通中概述的工作。那次沟通已介绍 MDASH、AI 辅助的漏洞修复开发与验证，因此这次披露是一次进展报告，公布了 10 月的漏洞修复总数和最新的部署数据。

AI 在漏洞发现、修复和验证各环节的应用

微软通过外部研究人员、合作伙伴以及自身工程和安全团队接收漏洞报告；微软安全响应中心则是负责报告、更新和协调响应工作的中心枢纽。MDASH 是一款智能体式代码扫描器，它利用多个 AI 模型和专用智能体识别并验证潜在漏洞，之后由安全和工程团队审查结果并决定如何应对。

微软的 Codename MDASH 预览版文档介绍了一套四阶段处理流程：先通过调用图分析和代码复杂度指标对文件排序，再使用 100 多个专用智能体和多个语言模型扫描优先级较高的代码。验证环节会运用污点分析、类型解析和多模型辩论来调整置信度并排除误报，随后合并重复发现的问题。扫描器还会为结果分配置信度评分，并可通过 Defender CLI 生成代码修复方案。

修复辅助功能还包括评估影响、识别受影响的 Windows 版本及相关代码变体、评估修复方案、规划向旧版本回移植修复，以及构建安全测试和回归测试。工程师仍负责审查相关工作、作出决策并对最终成果负责。发布验证还包括内部试运行、功能和安全概念验证测试、应用兼容性测试，以及与硬件合作伙伴、安全供应商、软件供应商和客户开展外部验证。AI 还可辅助测试选择、创建、分流、分析和报告。

可选的非安全预览更新提供了另一种检查方式：组织可以先在选定设备上安装这些更新，再等其内容纳入次月的安全更新。

修复数量增加，漏洞利用开发也在加速

微软认为，10 月的修复总数反映的是接受检查的代码更多、修复的漏洞更多，而不是 Windows 安全性有所下降。微软通过 Security Update Guide 发布严重性、影响和可利用性等详情，同时提供机器可读的 Common Security Advisory Framework 公告、Vulnerability Exploitability eXchange 文档，以及供漏洞管理和合规系统使用的 API。由于 Windows 安全更新具有累积性，部署优先级应决定哪些设备先更新——首先是面向互联网的系统、身份基础设施和高价值资产，而不是决定部署哪些单项修复。

紧迫性源于漏洞信息公开后可能发生的情况。已发布的修复方案可能透露底层漏洞的信息，为攻击者开发漏洞利用手段提供素材。在 2026 年 6 月 8 日发布的研究中，Anthropic 报告称，Claude Mythos Preview 针对测试的 21 个 Windows 内核补丁中的 18 个生成了概念验证崩溃漏洞利用，并构建了 8 条完整攻击链，可将低权限用户的权限提升至 SYSTEM 控制级别。这 18 个崩溃漏洞利用均在 6 小时内生成，不过，要将此类漏洞利用转化为真实攻击行动，还需要进一步工作。

企业部署方面的落差

微软 2026 年 8 月的诊断数据显示，在一组经过测量的 Windows 企业设备样本中，两周后安装安全更新的设备不到一半；四周后，约四分之一的设备仍未安装更新。这些数据表明，部署速度本身就是每次更新发布所带来风险的一部分，而非与安全风险无关的行政事务。

微软建议使用受支持的 Windows 版本，及时安装更新，采用安全基线、端点检测、可用的缓解措施，以及响应和恢复实践。Windows Autopatch 通过 Intune 提供分阶段部署和报告功能；符合条件的 Windows 11 和 Windows Server 2025 系统则可通过热修补减少重启次数。更新发布后，自动化系统会协助关联诊断、部署、支持和反馈信号；工程师可据此发布修订后的指导、临时解决方案、Known Issue Rollback 或带外更新。

核心矛盾在于，AI 能提高防御产出，却也会缩短部署防护措施的可用时间。10 月的数据衡量的是修复的漏洞数量，而 8 月的数据衡量的是防护实际到达设备的速度。微软此次更新表明，从漏洞发现和修复到更新发布、安装之间的时间间隔，是检验更快的发现和修复能否降低风险的最明确标准。