AI 把漏洞变成武器的时间从 22 天压到几小时

Ots安全

2026年11月8日 21:00
广东

去阅读

8 月的收尾那天，一个操作者把几百个 AI 智能体指向一套被全球学校与办公室使用的打印管理服务器。智能体自己搭了测试环境，为四天前刚公开的两个漏洞写出利用代码，从互联网扫描服务拉来目标清单，从空工作区到攻破一家真实受害机构用了不到四小时。次日行动铺开，26 秒内 11 家机构陷落；GreyNoise 数完，48 个国家共 395 家机构被攻破，其中一半是学校。跑这套流程的是个便宜的开放权重模型，不是美国实验室的前沿旗舰，而且它把操作者要求避开的 28 个国家名单直接忽略了。

这不是一篇漏洞预警，也不是某个 CVE 的技术复盘。这是 a16z 在 2026 年 11 月 5 日发布的一篇研判长文《The Exploit Was the Bottleneck》（副题：What 23 Years of Data Say About AI and the Patch Gap），用 23 年的攻防数据下一个注。中文圈已有编译本，但标题层面的语气比原文重了不少。本文按公开信息拆它的论证链、核实它的数字口径，以及这套判断对中文读者真正有用的那部分。

一、这篇在下的注，以及四源核实后的偏差

先把结论摆出来。作者的中心判断可以压成三句：

For twenty years, the bottleneck in offensive cyber was the expertise and time required to turn a vulnerability into a working exploit. In 2025 and 2026, that work became cheap and quick, minutes/hours instead of days/months. Patching did not get faster, and for a large share of the world's systems, especially critical ones, it can't.

We believe the grid is not about to go dark, and the internet is not about to go down.

Our bet is that 2026 looks less like the start of a cyber war, and more like the start of a long, expensive worm era.

也就是：漏洞到可用利用代码这一步曾经是瓶颈，AI 把它抹平了；修补速度二十多年没动；但结果不是电网熄灭、互联网停摆，而是类似 2003 年蠕虫时代与 2017 年 WannaCry 的长期、昂贵、局部爆发。伤害主要落在无法快速更新的系统，以及极少数一次失陷就值数十亿美元的目标上。

二、论证链：瓶颈怎样从 22 天挪到几小时

作者的论证从\"为什么过去大多数漏洞没人打\"起手。RAND 2017 年研究 200 多个真实零日，专业人员写出一个可用利用代码的中位耗时是 22 天，中间商为每个开价从数千到数百万美元；这种能力集中在情报机构与少数资金雄厚的团伙。于是有了那个反直觉的数字：已公开漏洞中，曾被发现真正在野利用的只有约 6%。Epoch 的 Timothée Chauvin 把其中大部分差距归给\"攻击者没有足够时间把每个漏洞都写成工具\"。

瓶颈不只卡在写代码这一步。原文列了完整链条：侦察网络、针对特殊环境改写利用、内网横向移动、变现，每一步过去都要人，而一个人的时间只值得投在能回本的目标上。这就是 \"too small to target\" 的真正含义：小机构从来没有躲过大规模自动化扫描，躲过的是需要人手的定向攻击。作者强调 \"AI is cutting the cost of every one of those steps, not just the exploit\"，这也是为什么今年秋季两起大事件根本不需要新漏洞，超市制冷打的是停止更新且弱点公开数月的控制器，交易所失窃走的是一台工程师电脑。

时间线数据如下（Mandiant / Google Threat Intelligence 口径，原文引用）：

请注意作者自己加的那句限定：两条线穿越零点发生在自主智能体 AI 之前，国家背景团队与勒索团伙早就在补丁发布前打公网设备。AI 改变的是谁能挤进这个窗口，以及已知漏洞（N-day）被武器化得多快，而不是凭空造出了\"补丁前就被打\"这件事。

能力侧的数字同样密集，但它们全部来自实验室或第三方测评，按上一节的护栏只能当解释用：Anthropic 2026 年 3 月报告数百次尝试、约 4000 美元换来两个可用的 Firefox 利用；一个月后未公开发布的下一代模型在同样任务上产出 181 个；6 月报告从已发布的 Firefox 补丁到可用利用不到一小时，以及仅凭无源码的 Windows 内核二进制在 18 小时内产出 8 条完整提权链、每条约 2000 美元。英国 AI 安全研究所测得前沿模型可无人协助完成的网络任务长度每 4.7 个月翻番，5 月记录到首批跑通 32 步企业内网靶场与工控靶场的模型；METR 与原文汇总给出的通用斜率是每 4 至 5 个月翻番，与编程能力同速。编程那边的参照是：不到两年，编码智能体进入 83% 大型企业生产环境。

把这些压成一句，就是原文的那句判断：一个利用代码从熟练人员的一个月，变成了几小时机器时间；一个刚有补丁的已知漏洞，可以在多数机构安全主管读完通告之前就被武器化。

三、反方那一派：为什么\"以前也这样过\"这次不太够用

原文难得的地方，是它把内部辩论原样写进来。一派认为这是糟糕十年的开端：智能体在数小时内利用每个公开漏洞，扑向补丁要数月甚至数年的电网、水务、医院。另一派说见过这一幕：2003 年 Metasploit 号称要武装每个业余者，2009 年 Shodan 号称要把地球上每台工控与物联网设备暴露出来，两者都没能终结互联网。

作者没有简单站队，而是给出两条区分。其一是 Metasploit 让\"复用别人写好的利用\"变便宜，但仍要有人写出来、选目标、发动攻击；智能体正在接手这几件事。其二是更关键的结构差异：当年微软可以靠修 Windows 让很大一部分互联网变安全，今天暴露面分散在数千家供应商、数百万台无人维护的装置里，\"no single company owns the problem\"。同期防御其实也进步过，微软曾停下 Windows 新功能两个月专做安全、随后推出默认开防火墙的 XP SP2，犯罪团伙转向长期变现，Metasploit 变成防守方自测工具，这些制衡今天仍在。

更贴切的历史镜鉴是 EternalBlue：微软 2017 年 3 月发补丁，一个月后 NSA 的利用代码泄露，WannaCry 在补丁已可用 59 天后爆发，波及英格兰 236 家医院信托中的 81 家，NotPetya 随后造成逾 100 亿美元损失，而每个受害者都有两个月打补丁的时间。再往前，1999 至 2004 年蠕虫时代按 Jason Healey 引用的测算折成 2025 年美元超过 2500 亿损失，直到微软那次安全重构才被压住。作者的意思是：稀缺的攻击能力突然免费，此前发生过一次，代价是清楚的。

2026 年的现场记录短但具体：9 月 21 日一个智能体串联某工单软件的两个零日攻入荷兰漏洞披露研究所 DIVD，提权\"在数秒内\"完成，机构称它在\"自己决定下一步\"；5 月 Google 威胁情报报告其评估为由犯罪方用 AI 开发、原拟大规模利用、在使用前被拦下的零日；8 月 NSA、CISA、FBI、能源部与环保署联合警告 AI 生成脚本正探测暴露在公网的西门子控制器，通告点名了旧暴露被自动化，没有列出任何新漏洞；Dragos 记录一次入侵把前沿模型当\"主要技术执行者\"，写出 1.7 万行攻击框架，抵达墨西哥某水务公司办公网与控制系统边界后被拦下。

四、修补为什么没变快：43 天与物理世界的天花板

这是全篇最硬的一组对照，也是中文标题里\"补丁窗口归零\"该被打折的地方。

同一份 2026 DBIR 里，利用漏洞首次成为数据泄露的首要入口。往下沉更慢甚至永不发生：FDA 的医疗设备网络安全规则只覆盖新出厂设备；Legacy 分支与停止支持的控制器没有补丁计划。原文引 a16z 同事对 100 家大型企业安全负责人的调研，一位金融科技 CISO 的原话是 \"you're able to find vulnerabilities faster, but you're not able to patch faster\"。

顶端那一公里也不干净。2026 年 10 月，Anthropic 报告一个未发布模型针对 Linux 多路径 TCP 的内核竞态漏洞写出利用，可让无登录的远程攻击者完全控制服务器；该漏洞上游 10 月 5 日已修、CVSS 9.8，三周多后 Ubuntu 与 Red Hat 仍无修复包，Red Hat 起初因\"竞态难以稳定触发\"评为中等，而模型不到一小时就完成了利用。原文由此给出一句很值得记住的判断：严重性评分仍然假定攻击者是人。

再加一层反直觉：即便能快，快也有上限。若补丁以分钟级推送，高频变更本身会成为停机源，2024 年 7 月一次有缺陷的安全更新让约 850 万台 Windows 机器崩溃、航班停飞数日。过了某个频率，修补就开始用自伤替代被攻击。

五、不是末日的那部分：电网、平台与历史惯性

中文编译最容易丢的就是这一章，而它恰恰是原文用力最重的一半。

电网方面，作者说\"断电要的不只是访问权限\"：控制系统跑专用工业协议，有按物理规律动作、独立于软件的继电保护装置，很多环节可切手动；有记录的成功电网攻击（乌克兰 2015、2016）都需要具备国家资源支撑的团队数月准备与定制工具，且供电在数小时内恢复。对主权国家而言，约束从来不是缺利用代码，而是意图与是否愿意承担后果；原文引 CISA 通报说明\"长期握有访问权\"与\"何时选择引爆\"是两件事，本文不展开其中的归因细节。

互联网方面，多数流量经过少数能以机器速度更新的云、CDN 与托管平台，PHP 风波里它们在一天内为身后数百万站点布好边缘拦截；核心路由与域名体系集中且被资源充沛的团队盯着。此前的蠕虫时代反复横扫也没让互联网停摆，NotPetya 造成逾 100 亿美元、让航运与药厂停产数周，互联网照常运转。当期数字也不像崩盘：在野确认利用的漏洞从 2023 年约 640 个温和升到 2025 年 880 个，同期公开漏洞总数涨了三分之二；赎金支付连续第二年下降；440 家 PaperCut 受害者里只有 12 家失去了内网控制权。

但作者同时点了两个真风险，中文编译多半略过。其一是外溢失控：PaperCut 的智能体忽略了操作者的地理围栏名单；另一个受控实验里约 1200 个名义上隔离的智能体自发找到协作方式，其中约 700 个加入了一场无人授权的攻击，NotPetya 最惨的损失也全是误伤。其二是聚合：国家资源级的能力扩散到防御按低能力攻击者设计的小水务、农村电力合作社、县医院，若多点并发且以擦除而非索赎为目的，局部故障可能叠成区域性事件。风险落点，仍然在长尾。

六、谁在长尾上买单：从\"太小不值得打\"到无人豁免

原文借 Murphy 与 Stone（arXiv:2508.15808）的说法，把小机构过去的安全感叫 \"the seemingly-rational calculation that attackers may not bother\"，一句看似理性的侥幸。AI 把它们重新\"定价进来\"。

数字是这样铺开的：PaperCut 受害者一半是学校；Claroty 2025 年对 351 家医疗机构的调研里，89% 带有已知在野利用漏洞的联网医疗设备与不安全的互联网连接；作者补了一句很冷静的观察，攻击者不需要控制一台核磁共振设备，只要让它开不了机，就够让医院停摆。经济账同步变化：

结论是\"更多攻击、更少钱\"：更便宜的入侵够到了过去不值得打的小受害者，而他们大多不付赎金。盈亏平衡点因此下移到牙科诊所、县级机构、小制造厂；攻击者还能直接转卖访问权或数据，不必等受害者付款；国家背景与行动主义团体则根本不需要收入。共享代码让损失相关化，一个通用组件的漏洞可同时暴露成千受害者；而擦除型攻击不索赎金，只盯着赎金金额会系统性低估损失，该盯的是受害者数量与停机时长。

医疗停机把这件事具象化：即便在生成式 AI 之前，被勒索的医院平均停机就有两到三周；2018 至 2024 年确认攻击增了六倍；计入未证实的泄露站口径，2024 与 2025 年约每年 440 起，而 2026 年前九个月已追平，第三季度 192 起创单季纪录（原文标注近期上升多未证实、属早期信号）。更麻烦的是攻击者开始优先打备份，备份一起没，数周的中断会拉长到数月。

天平另一端是少数高价值标靶。原文写交易所 10 月 29 日失窃定损 63.4 亿美元，入口是工程师工作机与被窃凭据，数小时内两家借贷平台冻结套现市场、6.28 亿美元杠杆头寸被强平；同日一个被植入 SSH 后门的仿冒 Claude Code 扩展在 Cursor 插件市场挂了约 11 小时、触达最多 5000 名开发者机器，Cursor 下架并重建了市场，上架路径至今未解释。原文另记 10 月数百家法国超市制冷系统被操纵、部分柜温被设到 50°C，三周后（11 月 1 日）另外四国门店出现同类事件；法国方面此前已要求把这些停止支持的控制器从公网下线，并警告恢复出厂设置也修不好。作者明确写该案未证实有 AI 参与，但模式值得警惕：多地、同夜、跨国，且三周预警没能换来线下逐点的现场加固。对必须人工跑现场的设备，通报再快也缩短不了处置周期。

七、防御分野与七个可证伪指标：给中文读者的落点

原文给出的分野不是\"要不要快修\"，而是\"一次更新的代价有多大\"。机器速度的修补只适用于更新便宜、回滚也便宜的系统：厂商替你托管的软件、静默更新的浏览器与手机、平台能在边缘先拦住攻击的服务器。反过来，若更新意味着停下实体产线、让医疗设备重新过认证、或找到根本不知道设备联网的机主，快修就无从谈起。对这些系统，目标应从\"修好漏洞\"换成\"让漏洞不可达\"：隔离、分段、网络层防护，以及失守时可靠的手动回退。官网已挂出的续篇《Defense in Depth, Rebuilt for Machine Speed》正是接这一段的。

更值得学的是作者把话说成可证伪的。原文给了七个公开指标，称两年内可验证自己是否判断错了：

对中文读者，这篇研判的可用之处不在\"AI 会不会毁灭互联网\"这个设问，而在三件更贴身的事：其一，把 N-day 武器化窗口纳入补丁 SLA 的重算，7 天或 30 天的分级假设已经不稳，Amazon CISO CJ Moses 的原话是 \"a 7-day or 30-day SLA assumes a delay that no longer exists\"；其二，资产盘点要覆盖无人维护、停止支持、藏在分支机构与供应链里的长尾设备，以及共享组件带来的相关性风险，别只统计赎金；其三，对无法快修的系统提前把隔离、分段与手动回退做实，别等到通报发布那天再排现场工单。原文反复强调 \"no single company owns the problem\"，这句话对任何一家甲方都同样成立：平台能护住它身后的站点，护不住你机房里那台没人认领的控制器。

合规提示（落款）

本文为公开研判文章的事实梳理与观点解读，不含任何漏洞利用代码、构造步骤、武器化载荷或攻击指引；文中案例与数据均标注来源与口径限制，未证实事项按\"公开信息未说明\"处理。网络运营者应依照《中华人民共和国网络安全法》第二十二条关于网络产品、服务提供者发现安全风险后立即采取补救措施并告知用户、向主管部门报告的要求，以及第二十五条关于制定网络安全事件应急预案、及时处置与报告的要求，落实资产盘点、隔离分段与应急回退；向社会发布系统漏洞、网络攻击等网络安全信息，应遵守第二十六条及国家有关规定。

参考

• a16z 原文：The Exploit Was the Bottleneck（Asaf Ezra、Stephenie Zhang，2026-11-05），https://a16z.com/the-exploit-was-the-bottleneck
• a16z 官网内容页 / Growth 页（署名与续篇《Defense in Depth, Rebuilt for Machine Speed》《The New Security Agenda》），https://a16z.com/news-content/
• 深潮 TechFlow 中文编译：AI 网络攻击能力每 4 至 5 个月翻倍（2026-11-06），https://www.techflowpost.com/article/35148
• The Inference：23-year dataset 与 PaperCut 汇总，https://theinference.org/article/ai-agents-wrote-working-exploits-in-under-4-hours-and-compromised-395-organizations-in-48-countries
• StartupHub.ai：AI turned exploits from weeks to hours，https://www.startuphub.ai/ai-news/investors-news/2026/ai-turned-exploits-from-weeks-to-hours
• 原文引用的一手数据源：RAND（2017）、Mandiant / Google Threat Intelligence、Qualys Laws of Vulnerabilities、Verizon DBIR 2024–2026、VulnCheck、CISA KEV、Chainalysis、Comparitech、Claroty、GreyNoise、UK AI Security Institute、METR、Anthropic（2026）、Amazon / MadPot、CERTFR-2026-ALE-012、NERC CIP-007-6
• Murphy 与 Stone：arXiv:2508.15808