AI 找漏洞的速度越来越快

11 月 4 日，OpenAI 介绍了一次让 AI 智能体针对 Linux 内核展开的行动。Linux 内核是支撑 Android 手机、云基础设施和超级计算机的软件。从 10 月中旬开始的大约十天里，这些智能体为 948 个不同的漏洞编写出了可用的利用程序，每一个漏洞都能让一个普通用户账户获得对整台机器的完全控制，智能体还为每一个漏洞都写出了一个候选补丁。一周前，Google 发布了 Gemini 4 Carbon，并首先将其交给经过审核的网络防御者。从漏洞存在到有人发现它，这段时间正在缩短，而各大实验室希望防御者抢先一步。

OpenAI 做了什么

这条流水线分为五个阶段，运行在 OpenAI 于 11 月 5 日以 GPT-6 Cyber 之名发布的网络安全模型上。侦察智能体挑选出内核中值得审计的 5'034 个部分，约占其代码的百分之七。分析智能体在 12 小时内将它们转化为 2'308 项候选发现。分诊智能体尝试在隔离的机器中逐一复现，成功复现了 1'724 项，约占四分之三，OpenAI 表示只有百分之三点一的发现建立在错误的分析之上。后续阶段测试了哪些漏洞可以被利用，并编写了补丁，在报告任何内容之前都由人审查了结果。

这次行动花费了 1'213'430 美元的 API 额度，相当于每个利用程序约 1'279 美元。目标机器运行的是开启了常规防护的标准桌面版 Linux。7 月用较早的模型 GPT-5.6 Sol 进行的一次行动发现了 166 个此类漏洞。尽管内核在此期间又加固了三个月，新模型发现的数量仍是其五倍多。

实验室如何谈论局限

OpenAI 坦率地说明了哪里出了错。在早期的一次运行中，流水线报告了 200 次成功的漏洞利用，而人工审查发现，其中有 20 次是通过另一个未知漏洞，而不是分配给它们的那个漏洞获得了完全控制。OpenAI 写道：“这表明，即便是智能体成功实现的漏洞利用，也需要适当的验证。”它随后增加了一道独立检查，确认每个利用程序使用的都是分配给它的漏洞。它得出的教训适用于任何自动化工作：“除了验证结果本身，还要验证得出结果的路径。”

补丁同样需要打磨。最初的补丁能用，但有时会添加不必要的代码、忽视本地惯例，或遗漏同一漏洞的变体，直到更多的指令和反复迭代改进了它们。OpenAI 称其成本数据“更像是一个上限”。所有这些数字都来自 OpenAI 自己。截至 11 月 5 日，我们没有找到对这些数字的任何独立审计，也没有看到内核维护者就这批漏洞发表任何公开声明。

防御者优先

Google 在 10 月 28 日的发布遵循同样的模式。它称 Gemini 4 Carbon 是“我们最强的模型，具备最先进的网络安全能力和长周期任务能力”，并报告了以下成绩：在发现漏洞的 SEC-bench Pro 上为百分之八十八点二，在 ExploitGym 上为百分之五十四点八，在修补漏洞的 CWE-bench 上为百分之七十一点零，这些都是 Google 自己的数据，且是在没有防护措施的情况下测得的。访问权限先开放给一部分网络防御者，再通过 Fairwind Program 分阶段扩大；据 SecurityWeek 报道，该计划已有 650 多个参与方，其中包括政府和关键基础设施运营商。面向开发者、企业和消费者的版本承诺将“尽快”推出，但没有给出日期。

Anthropic 在 4 月通过 Mythos 开创了这一模式，OpenAI 也随之效仿。GPT-6 Cyber 首先提供给 Daybreak Red 中一小批获批的客户，这是 OpenAI 用于授权安全测试的计划；根据其自身的防范框架（Preparedness Framework），OpenAI 将该模型在网络安全方面评为 Critical 级别。它的公告说明了原因：“很明显，我们利用前沿模型保障软件安全的时间窗口是有限的。”

维护者的处境

每一项发现最终都会落到某个必须修复它的人手里。3 月，资深内核维护者 Greg Kroah-Hartman 对 The Register 表示，大约一个月前，借助 AI 提交的报告已从垃圾变成了真材实料：“现在我们收到的是真正的报告。”5 月，Linus Torvalds 写道，“AI 报告的持续泛滥，基本上已让安全邮件列表几乎完全无法管理”，因为许多人用同样的工具发现了同样的漏洞。他给报告者的建议是：“如果你用 AI 工具发现了一个漏洞，很可能别人也发现了。”7 月，内核团队在一个周日和周一两天之内发布了 432 个 CVE。

在 OpenAI 扫描期间，维护者和其他贡献者已经在修复其中许多相同的漏洞：十天后，61 个已在上游修复，43 个的补丁正在等待合并，299 个正在公开讨论中。OpenAI 表示，它遵循了内核社区的指引，迄今已披露了 304 项附带候选补丁的严重发现。在我们看来，如今稀缺的资源是那些审查、测试和发布修复的人的注意力。

企业可以做什么

大多数企业只是运行接收这些修复的软件，而且这些修复往往是成批到来的。OpenAI 自己得出了结论：就目前而言，在一个“没有及时安装最新可用补丁”的系统上，低权限账户“对于资源充足的威胁行为者来说，在功能上应被视为等同于 root 权限。”在我们看来，由此可以得出四点。

更快地打补丁，并清楚自己运行的是什么。Akamai 首席信息安全架构师 Jan Schaumann 在 7 月写道，对单个内核变更逐一排定优先级已不再可行；他对 The Register 表示，“自动、定期且频繁的更新”似乎是唯一合理的做法，尽管这对大型组织来说并不容易。这需要一份最新的清单，列出每一台服务器、每一台设备和每一项服务，以及各自由谁负责更新。

选择打补丁迅速的供应商，并询问一个关键修复需要多长时间才能送达您手中。询问您的软件供应商如何使用这些模型：他们是否扫描自己的代码，如何核实模型报告的内容，以及是否参与 Daybreak 或 Fairwind 之类的计划。

把敏感数据保存在您自己掌控的系统中，并按角色限制访问，这样别人服务中的漏洞暴露的内容就会更少。掌控并不能免除打补丁的责任，而是让这份责任落到您自己身上。OpenAI 还建议使用沙箱和隔离措施，以便在漏洞被利用时限制损害。

我们的立场

我们不开发安全扫描工具。我们负责的是清单上的最后一点。Twin 已上线，它为企业的各个助手提供同一个大脑，按角色设定访问权限，每一次写入操作都以具体用户的身份登录进行，每一个步骤都有记录，可托管在瑞士、欧盟、美国或企业自己的硬件上。Eigna 处于抢先体验阶段，由我们的合作伙伴 Eigna Labs 打造，它是一个运行在企业自己的云端或服务器上的私有模型，并且设计为可在封闭网络中离线运行。和企业运行的其他任何系统一样，两者都必须保持更新。