麦肯锡报告解读：前沿AI如何改写软件安全规则？

赛博研究院
赛博研究院

赛博研究院

2026年11月7日 16:29
上海

去阅读

近日，麦肯锡发布行业洞察文章《前沿人工智能如何改写软件安全规则》（How frontier AI is rewriting software security rules）。前沿人工智能模型能力快速迭代，大幅降低软件漏洞挖掘与利用门槛，颠覆了传统软件安全的底层前提。

过往漏洞挖掘与利用高度依赖稀缺专业能力，防御方有较充足的时间开展风险研判与缺陷修复。而当前，攻击者借助前沿技术可规模化挖掘缺陷、生成可执行攻击载荷，企业漏洞处置却仍需走完研判、测试、审批、部署全流程，攻防双方的处置效率差距持续拉大。

漏洞识别效率显著提升，但企业修复能力并未同步升级。完整修复链条包含漏洞确认、业务影响评估、代码修改、回归测试以及上线部署。对于大型机构而言，软件架构庞杂、供应链链路冗长，单一漏洞往往跨部门、跨供应商，进一步增加修复落地难度。技术仅加速漏洞识别环节，无法简化既有修复流程，修复环节已然成为安全处置的主要约束。

Anthropic的项目实践佐证了漏洞挖掘技术的实际效能，依托Project Glasswing项目，合作方通过Claude Mythos Preview识别出大量高危、严重等级漏洞，其中包含潜伏多年的历史缺陷。这表明新型技术可发现长期被人工测试忽略的安全隐患，大量沉淀的历史风险将加速暴露。

与此同时，漏洞挖掘技术存在扩散风险，攻击者同样能复用相关能力实施攻击。高危漏洞公开披露后，可被利用的时间窗口急剧压缩，企业修复周期普遍滞后于攻击节奏。安全团队除处置新增风险外，还需承担历史漏洞积压、系统迭代、第三方组件维护等工作，漏洞识别与缺陷修复之间的时间差，逐渐成为企业网络安全治理的突出矛盾。

这一现实倒逼企业重构软件安全治理模式。传统依靠周期性扫描、漏洞评估、补丁更新的管控手段，已难以适配海量漏洞持续涌现的现状。漏洞风险研判不能仅依据漏洞本身的官方严重等级，需要综合考量野外利用迹象、资产公网暴露状态、核心数据触碰情况、攻击影响半径，结合企业资产实际情况完成修复优先级排序。

目前，前沿技术衍生的安全风险已受到监管重点关注，在金融领域尤为突出。境外监管机构要求大型金融机构完善漏洞全生命周期管理，强化安全监测，压实供应商与暴露资产防护责任。网络安全不再仅是技术部门职责，已上升至机构治理层面，与业务连续性、风险容忍框架深度绑定。

针对攻防格局的变化，建议从以下四个维度提出软件安全体系优化路径。

第一，构建AI原生漏洞发现体系，优化检测核验全流程。不同检测模型、传统扫描工具的漏洞捕获范围各有侧重，单一工具易形成防护盲区。企业应采用多工具融合检测策略，复用现有扫描能力，针对核心复杂代码部署高性能检测手段，在常规检测场景选用适配成本的方案。

漏洞检出不等于风险闭环，检测结果必须经过核验：确认缺陷可复现、受影响组件真实部署、修复方案适配运行版本。存在野外利用迹象或作用于核心业务的漏洞，直接启动优先处置。搭建统一漏洞台账，归集代码缺陷、云配置风险、第三方隐患、密钥泄露等安全发现，完成去重，建立漏洞-资产-责任人的对应关系，消除信息孤岛。

第二，推动安全左移，将安全能力内嵌于软件工程全生命周期。厘清产品、平台工程、安全团队的权责边界：产品团队对业务安全结果负主体责任；平台工程团队在资源授权下提供可复用的安全开发底座；安全团队制定强制安全规范，独立校验落地效果。

代码生成智能体按特权主体管控，仅分配最小必要权限，严禁访问生产环境、核心业务数据与密钥仓库；针对智能体的外部指令注入风险，访问限制需在模型层之外强制执行。信任边界调整、鉴权策略、密码学变更、引入非白名单依赖等高风险操作，需设置人工审批节点。漏洞修复完成后，要核验变更已下发至所有受影响实例，不能仅以代码仓库修改作为闭环依据。

第三，升级风险与管控框架，实现从纸面合规向面向实际暴露风险的可执行管控转型。传统周期性事后鉴证模式已无法适配漏洞爆发式增长的态势。企业应按照资产分级划定可利用漏洞的最长容忍窗口期，对公网暴露的核心系统执行严格的修复时限。若客观条件下无法按期修复，漏洞风险豁免不得无限延期，必须配套补偿防护措施、明确业务责任人并设置到期复核机制，逾期则自动升级处置。

同时，将智能体纳入风险管理体系，明确其身份标识、权限边界与管理责任人，完整留存操作日志，以确定性测试校验执行结果，避免以AI校验AI。供应链风险方面，摒弃仅做准入及年度评估的模式，将补丁响应时效纳入供应商合同，持续跟踪其安全处置表现，并预先约定逾期后的隔离、停用预案。

第四，夯实技术防护底座，秉持“假设失陷”思路控制风险爆炸半径。防护不能完全依赖漏洞补丁，需依托网络边界划分、访问权限管控阻断风险横向扩散。多因素身份认证、最小权限、自动更新、灾难恢复、不可篡改备份等基础控制措施仍是防御核心，其价值不会随技术迭代而削弱。

此外，完善软件物料清单，厘清系统组件与开源依赖，确保风险爆发时能快速定位受影响资产。对业务收益不足以覆盖维护成本的老旧系统，在资源保障前提下推进下线或替换，压降技术债务；开展密码学长期规划，完成关键系统密码组件盘点，分阶段落地后量子密码迁移。

文章参考来源｜麦肯锡、互联网公开信息

赛博研究院简介

上海赛博网络安全产业创新研究院（简称赛博研究院），是上海市级民办非企业机构，成立至今，赛博研究院秉持战略、管理和技术的综合服务模式、致力于成为面向数字经济时代的战略科技智库、服务数据要素市场的专业咨询机构和汇聚数智安全技术的协同创新平台。

赛博研究院立足上海服务全国，是包括上海市委网信办、上海市通管局、上海市经信委、上海市数据局等单位的专业支撑机构，同时承担上海人工智能产业安全专家委员会秘书长单位、上海“浦江护航”数据安全工作委员会秘书长单位、上海数据安全协同创新实验室发起单位等重要功能，并组织“浦江护航”数据安全上海论坛、世界人工智能大会安全高端对话等一系列重要专业会议。

欢迎联络咨询：

邮件：[email protected]；

电话：021-61432693。