AI 已经会批量找漏洞： 安全团队下一个问题可能是“修不过来”

JacobWang
JacobWang

NowSec

2026年10月13日 09:45
陕西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

过去谈 AI 做安全，大家最关心的问题通常是：

它到底能不能真的找到漏洞？

这个问题现在正在变得没那么重要。

10 月 8 日，Anthropic 宣布启动 Anthropic Cyber Mission，同时推出两项计划。

一个是面向电网、水务、交通、工业控制等场景的 Critical Infrastructure Defense Program；另一个则是面向开源项目的免费漏洞扫描服务 OSS Scanner。

表面看，一个在管 OT，一个在扫开源代码，似乎是两件不同的事。

但 Anthropic 自己在公告里点出了现在最大的瓶颈：

漏洞已经越来越容易被发现，但验证、排序、披露和修复，依然严重依赖人。

这可能才是 AI 安全接下来真正麻烦的地方。

以前安全团队怕的是漏掉漏洞。

以后可能还要担心另一件事：

AI 一天找出几百个问题，但团队根本修不过来。

AI 找漏洞的能力，确实已经不是一年前的水平

Anthropic 在 OSS Scanner 的技术说明里给了一个很直观的数据。

在 CyberGym 这类漏洞发现基准上，大语言模型在去年初只能找到不到 20% 的漏洞，而到了今年，这个比例已经超过 85%。

这种变化在真实开源项目里也开始出现。

过去半年，Anthropic 用最新模型扫描了一批重要开源项目，一共发现了超过 29,000 个候选漏洞。

问题来了。

真正由人完成验证和分级的，只有大约 6,000 个。

模型不是找不到漏洞，而是人已经开始验证不过来了。

这个数字很值得安全行业琢磨。

因为长期以来，AppSec 和漏洞治理的重点都放在“如何发现更多问题”。

SAST、DAST、SCA、Fuzz、代码审计、漏洞扫描器，大家都在努力把更多风险翻出来。

AI 出现以后，发现能力突然被放大，但后面的流程没有跟着自动化。

工程师还是要确认是不是误报，要看调用路径，要复现，要定级，要找负责人，要提修复，再等研发发版本。

机器前面跑得越来越快，后面仍然是一条人工流水线。

OSS Scanner 干脆把“未人工审核”的结果也直接发给维护者

Anthropic 这次做 OSS Scanner，一个比较大胆的变化就是：

报告不再强制经过人工审核。

项目维护者主动加入以后，Anthropic 会定期使用最强模型进行扫描，发现的问题可以直接发送给维护者。

一份报告里通常会包括漏洞解释、复现方式，如果模型能够生成，还会附带候选补丁。

这意味着维护者拿到的不再只是：

“第 347 行可能存在安全问题。”

而更接近：

问题在哪里；
为什么会触发；
怎么复现；
什么时候引入；
可以怎么改。

Anthropic 在前期验证阶段，让专业渗透测试人员检查了 48 个项目里的 97 个高危和严重漏洞。

其中 85 个达到了其正式协调漏洞披露流程的标准；剩余 12 个里，11 个本身也是真实问题，只是与其他报告重复，真正被认定为误报的只有 1 个。

另外，wolfSSL 的维护者称，他们收到的 74 份报告里只有两份无效，其中 5 个问题后来获得了 CVE。

当然，这并不意味着 AI 漏洞报告已经可以完全不看。

Anthropic 自己也明确提醒，模型可能把严重等级判断错，也可能误解项目本身的威胁模型。

所以 OSS Scanner 要求项目主动加入，而且更适合那些本身就有能力快速处理安全报告的项目。

它甚至要求维护者先告诉 AI：“什么才算严重”

OSS Scanner 还有一个设计我觉得很值得国内团队参考。

项目除了提交构建环境，还可以提供一个 threat_model.md。

里面不是告诉模型“怎么找漏洞”，而是解释：

项目的安全边界是什么；
不可信输入从哪里进来；
哪些组件属于核心范围；
哪些场景不考虑；
一个漏洞应该怎样定级。

例如，一个认证后的 SQL 注入到底算 High 还是 Critical；一个没有完整利用链的 Buffer Overflow 最高应该定到什么级别，都可以提前写清楚。

这其实比单纯“让 AI 扫代码”成熟很多。

没有业务和威胁模型的漏洞扫描，最后只会制造更多告警。

这个问题安全运营团队应该很熟悉。

同一个漏洞，在公网核心业务和完全隔离的测试环境里，处理优先级完全不同。

如果 AI 只会看代码，不知道资产、权限、网络和业务上下文，它最终也会走上传统扫描器的老路：

找出来很多，但没人愿意看。

扫描过程本身也开始像一个真正的安全系统

OSS Scanner 并不是简单把 GitHub 仓库扔给 Claude 看一遍。

根据 Anthropic 公开的实现方式，项目加入时需要提供 Dockerfile，扫描器先在隔离虚拟机中构建项目。

依赖下载和构建阶段可以联网，但真正进入安全审计阶段以后，虚拟机会被切换到无互联网环境。

这样做显然是在限制扫描过程中代码或测试数据被意外带出去，同时也降低 Agent 被项目内容诱导后直接访问公网的风险。

AI 安全扫描越有执行能力，扫描器自己就越需要沙箱、网络隔离和权限边界。

这一点尤其值得注意。

因为现在很多所谓 AI 代码审计工具，已经不是“读文本”这么简单。

它可能需要构建项目、运行测试、生成 PoC，甚至真正执行一些路径验证。

能力越强，扫描环境本身越像一个红队环境。

为什么 Anthropic 又突然跑去守电网和水厂？

Cyber Mission 的另一半，是 Critical Infrastructure Defense Program。

这次 Anthropic 没有选择自己直接去给水厂、电网做安全，而是找了一批本来就在这些行业里的安全公司、咨询机构和工业厂商。

首批合作方包括 CrowdStrike、Dragos、Nozomi Networks、Palo Alto Networks、Rockwell Automation、Hitachi、Accenture、Deloitte、PwC 等。

Anthropic 提供前沿 Claude 模型、工程人员和威胁研究能力，行业伙伴负责把这些能力放进真实 OT 环境。

这么做其实很现实。

工业控制环境不是互联网服务器。

一台 Web 服务器打补丁，最多安排一个维护窗口。

但一个运行几十年的 PLC、控制器或生产系统，补丁可能意味着停产、停水、停电或者重新做完整工艺验证。

在 OT 环境里，“发现漏洞”经常只是最简单的一步。

Anthropic 自己也提到，Project Glasswing 中已经多次出现漏洞发现后几个月才能真正完成修复的情况。

到了工业控制环境，这个时间可能更长。

一些设备生命周期以十年计算，停机成本又极高。

所以 AI 在这里最有价值的工作，可能不是告诉工程师“这里有个 CVE”。

而是帮人更快回答：

这个漏洞到底能不能从现有网络路径触发？
哪些设备真的受影响？
不停机有没有临时缓解办法？
哪个补丁应该先上？
修改配置会不会影响生产？

这些才是真正吃人力的地方。

以后最大的安全问题，可能不是误报，而是“正确告警太多”

安全团队以前很讨厌误报。

因为扫描器每天报几千条，最后真正有用的没几条。

AI 如果继续按照现在这个速度提升，一个很有意思的情况可能出现：

报告越来越准，但数量多到人还是处理不过来。

这时候安全运营面对的就不是 False Positive，而是另一种问题：

True Positive Overload

一百个漏洞都是真的。

但研发这个月只能修十个。

安全团队必须判断哪十个最容易被利用，哪几个暴露公网，哪些已经有攻击路径，哪些可以通过 WAF、网络策略或权限收敛先做临时缓解。

到了这里，单纯“更强的漏洞发现 AI”其实已经不够用了。

接下来真正需要自动化的，是：

去重 → 验证 → 资产关联 → 攻击面判断 → 风险排序 → 修复建议 → 自动补丁 → 回归验证

也就是说，AI 安全下一阶段拼的可能不再是谁找得多。

而是谁能真正把漏洞关掉。

国内企业现在就会遇到这个问题

这个趋势离国内安全团队并不远。

现在不少团队已经在尝试把大模型接进 SAST、代码审计、漏洞运营和 SOC。

刚开始效果通常很明显。

以前一条告警需要人工翻代码，现在模型几分钟就能把调用链说明白；以前研发看不懂扫描报告，现在模型可以顺手把修复代码也写出来。

但一旦规模上来，新的问题马上会出现。

模型扫出了 300 个问题，到底谁来确认？

哪个系统是公网资产？

哪个漏洞已经被 WAF 拦住？

哪个依赖实际上生产没加载？

哪些问题应该今天修，哪些可以等下个版本？

这些问题都不是代码模型单独能解决的。

AI 漏洞扫描要真正进入企业，最后一定要和资产、流量、WAF、EDR、漏洞情报、CMDB、代码仓库和工单系统接起来。

否则它只是在安全平台里增加了一个更聪明的扫描器。

还有一个问题：AI 找得越快，攻击者也一样

Anthropic 在 Cyber Mission 的说明里有一个判断很直接。

他们认为，长期看 AI 最终可能更有利于防守，但短期内未必如此。

原因并不复杂。

攻击者拿到一个漏洞，只需要利用一次。

防守方发现一个漏洞，却要验证、通知、排期、修改、测试、上线，有些时候还要协调几十个下游项目。

攻击链已经开始进入分钟级，但企业变更流程还是按天甚至按周计算。

AI 同时加速攻守两边，但攻击和修复的流程天然不对称。

这也是为什么 Anthropic 没有只做一个漏洞发现排行榜，而是开始把重心往修复、OT、开源维护者和安全运营流程里推。

写在最后

OSS Scanner 看起来只是一个免费的 AI 漏洞扫描服务。

但它背后反映出来的问题，比工具本身有意思得多。

安全行业用了很多年，希望扫描器更准、覆盖更多、漏报更少。

现在 AI 正在快速逼近这个目标。

然后我们突然发现：

找得更多，不代表风险就会自动下降。

如果验证跟不上、研发修不过来、生产不敢停、资产又说不清楚，再准确的报告最后也只是待办列表。

AI 把“找漏洞”变得越来越便宜之后，真正昂贵的东西开始变成：

判断哪个漏洞值得先修，以及怎样安全地把它修掉。

对于开源社区是这样。

对于企业漏洞治理也是这样。

到了电网、水厂和工厂里，这个问题只会更明显。

AI 安全真正进入下一阶段以后，比“谁先找到漏洞”更重要的，可能是“谁能更快把漏洞关掉”。

参考资料

1. Anthropic：Introducing the Anthropic Cyber Mission，2026-10-08

2. Anthropic Frontier Red Team：Launching an opt-in vulnerability-finding service for open-source software，2026-10-08

3. Anthropic OSS Scanner：公开项目与接入说明