AI挖洞提速，企业安全防护该如何应对

原创

裴伟伟
裴伟伟

洞源实验室

2026年10月16日 17:49
山西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一家企业的安全应急响应团队收到了某项资产所属供应商的漏洞公告，供应商同时提供了补丁，并同步了企业运维团队，运维团队开始评估补丁修复的影响，业务部门则基于影响评估的结果安排技术人员执行发布。与此同时，看到漏洞公告的攻击者只需要确认目标是否存在利用条件即可。在攻防场景中，企业需要协调多个部门进行漏洞修复，而攻击者只需要找到一个合适入口利用漏洞即可。本质上双方都在围绕同漏洞展开行动，但各自的时间表决定了这场竞争的结果。

AI进入漏洞挖掘和研究后，让攻防双方的时间差成为企业安全部门重点关注的问题。模型能够参与代码阅读、补丁分析、测试编写和错误排查，研究者与攻击者从中获得工具，但对于企业来说，发现能力的提升需要验证与修复能力承接，同时还会受到模型使用范围的限制，比如攻击者可以使用Anthropic最新的模型，但企业却可能只能用能力不那么强的模型。

Meterpreter关于AI漏洞发现趋势的报告，以及它引用的谷歌研究和相关厂商公告为观察AI时代企业安全防护的变化提供了一些材料。综合这些来源，可以看到三条趋势：AI参与发现具有攻击价值的漏洞，公开信息向利用能力的转化获得了工具支持，承载AI的框架和平台形成了需要保护的系统。笔者希望通过本文，帮助企业安全从业者理解这些变化。

一、漏洞数量增长，风险判断需要同步跟上

GTIG（Google Threat Intelligence Group，谷歌威胁情报团队）在2026年9月30日发布的研究，覆盖2025年1月至2026年8月。报告显示，月度漏洞披露量从2026年1月的5,045个增长到8月的10,740个；2026年前八个月记录到的披露并遭利用的漏洞达到141个，超过2025年全年的127个。

这些数据说明，漏洞信息和利用活动给防守方带来的处理压力发生了变化。要理解这些数字，需要区分漏洞披露量与企业承受的风险。首先，CVE编号数量会受到发现活动、披露节奏和编号政策影响，某个项目发布一批问题，统计曲线就会出现变化，但披露的这些问题对一家企业具体会造成什么影响，取决于企业使用的受影响系统的版本、配置和部署方式。

另一个数字值得注意的是：在2026年披露的漏洞中，GTIG观察到实战利用漏洞的比例为0.23%，这个比例仅仅反映的是其观察范围内的情况，并不能说明某家企业的受攻击概率。也就是说，漏洞总量衡量的是漏洞信息规模，而企业风险取决于其中哪些问题能够触达自己的业务。

另外，安全漏洞风险等级存在统计口径差异,在报告中，GTIG使用了自己的漏洞风险评分体系。CVSS的基础分衡量漏洞固有的技术严重性，而企业进行漏洞修复时，需要结合威胁活动、资产价值和现有控制措施进行评估。因为，不能仅仅用漏洞编号数量评价企业的风险，这类似于用医院挂号量判断患者的病情，数字仅仅能够说明接诊压力，而治疗方案则需要进一步诊断依据。

二、AI挖洞的分布是怎样的

报告中关于AI发现漏洞的效果采用了两个观察角度：风险等级和利用后果。

这张表的差异集中在低风险与中风险两项。AI发现样本的中风险占比为58%，对照组为28%，相差30个百分点；低风险占比为39%，对照组为69%。高风险占比为4%和3%，相差一个百分点。因此，我们可以说AI与非AI发现的结果风险分布存在差异，但目前还不能说AI发现的漏洞以高风险为主”。

利用后果的对比提供了另一层信息。如下图所示，蓝色代表非AI发现的样本，红色代表AI发现的样本，其中“代码执行”一项的占比为26%和50%。

这种分布情况其实与漏洞研究的任务有关。通常，研究者会把Agent用于关键基础组件、权限边界和复杂代码路径的漏洞挖掘，目标是寻找具有攻击价值的漏洞。也就是说，代码执行漏洞的高比例其实是源于研究者对目标的选择，或者说是对漏洞影响的追逐。另外，由于GTIG是通过厂商公告和研究记录识别AI参与情况，公开漏洞登记缺少统一的AI标记，因此非AI发现的分类会受到资料完整性的限制。但对企业而言，这份统计意味着可能的研究方向，即围绕关键攻击面安排审查，并为发现结果配置验证。

三、公开漏洞与企业修复之间存在攻击者的机会

0-day漏洞利用关注漏洞披露或补丁发布前的攻击，n-day漏利用围绕已公开漏洞展开，前者考验安全人员发现未知问题的能力，后者则主打利用公开信息与修复进度之间的时间差。GTIG认为，2026年观察到的利用增长主要来自n-day漏洞的武器化，0-day漏洞占同期利用样本的62%，但增长来源与样本构成描述的是不同问题，前者说明新增压力来自哪里，后者说明当前观察到的利用由什么组成。

攻击者获得公开线索之后，需要判断目标、构建测试并验证利用，相比之下，企业收到公告之后，需要识别资产、评估影响并安排修复。AI为前一段工作提供了工具，企业后一段工作的耗时则取决于组织能力。

另外，企业需要关注AI辅助下攻击者的能力构成，而这需要结合证据链进行判断，生成一份利用脚本、在测试环境验证攻击链、在真实目标上实施攻击，对应的是不同的能力。GTIG五月报告记录了具有AI参与痕迹的零日利用脚本，相关行动在筹划阶段遭到干预；九月报告记录了智能体辅助凭证收集等实战活动，并对无人干预的漏洞发现与利用流水线保留观察边界。对于企业而言，判断威胁来源和来源的攻击能力需要依据行为记录，如果只是把工具能力想象成全能攻击者的故事，会妨碍企业确定应对的防护重点。

四、BeyondTrust案例暴露了修复交付的差异

BeyondTrust的CVE-2026-1731影响远程支持和特权远程访问产品，该漏洞允许缺少登录凭证的攻击者，以相关服务用户的权限执行操作系统命令。这是典型的命令注入漏洞：外部输入进入命令执行过程，使程序执行攻击者控制的指令。厂商公告中明确说明漏洞的发现者Hacktron团队是通过AI辅助变体分析参与发现的该漏洞。

从厂商公布的时间线看，1月31日出现设备异常、研究确认和补丁研发；2月2日，云服务及启用更新服务的实例获得补丁；2月6日，公告发布；2月10日，厂商观察到利用尝试。GTIG在披露后4天内观察到一个攻击簇（研究机构按行为和基础设施关联归纳的一组活动），7天内新增五个攻击簇。

这起事件值得关注的地方在于同一个漏洞进入了不同的交付环境。托管服务的升级由服务方组织，自托管系统需要客户承接修复工作。补丁是否存在与补丁是否安装在某台设备上是两个不同维度的问题。也就是，面对同一个漏洞的修复，不同部署环境获得保护的时间取决于谁掌握升级权限、谁负责安排执行。

这个案例的启示是企业外部采购产品的交付责任：企业采购软件时，应当明确升级方式、维护窗口、兼容性测试和结果确认机制。设备在采购时拥有预算，在修复时需要拥有责任人。否则，一份具有技术依据的公告，会变成一张寻找签字人的工单。

五、AI工具链成为企业需要保护的系统

AI在安全领域承担着两种角色：防护者使用它寻找缺陷，攻击者瞄准承载它的系统。GTIG在观察期内统计了2,076个AI相关漏洞披露，涉及开发框架、应用门户、推理服务和工具平台。这里的风险分布在整套软件系统中：编排平台组织模型与工具，推理服务提供模型调用，网关管理请求、凭证与使用策略。

LiteLLM的CVE-2026-42271说明了权限设计的重要性。该漏洞的公告中说明，相关测试功能接受有效代理密钥，但缺少角色检查，使低权限用户获得命令执行能力。研究者展示的免认证攻击，需要与Starlette中的CVE-2026-48710组合。多个缺陷或条件连接起来，形成通往目标的路径，这种方式称为攻击链。所以，在企业评估风险与修复范围时需要分清单个问题的前提和组合后的能力。另外，该漏洞同时还涉及MCP，这就使一个软件的漏洞具备影响其他系统的条件。所以，企业给AI工具分配的权限，决定了它失陷之后能够影响多大范围。

六、AI挖洞的工程价值需要经过验证

模型发现一处可疑代码，形成的是候选问题，确认它是否构成漏洞需要检查输入能否到达、权限是否满足、现有措施是否阻断利用，以及结果是否影响业务。AI帮助提高候选问题的产出之后，验证工作需要人员与工具承接。当发现量超过验证和修复能力，报告积压会成为新的管理负担。模型负责出题，工程师负责加班，这笔成本对于企业安全管理而言不能忽视。

Mandiant公开的AVDH（Agentic Vulnerability Discovery Harness，智能体漏洞发现编排框架），展示了把模型组织进研究流程的方法，该方法的五个环节为威胁建模、入口识别、上下文收集、假设生成和假设验证。

威胁建模用来判断攻击者能够沿什么路径影响系统。流程从这里开始，是因为代码中的危险函数需要放在使用场景里判断：一个入口面对什么用户，数据经过哪些校验，调用者拥有什么权限，决定了漏洞是否具有利用条件。验证方法需要匹配漏洞类型：内存错误可以借助运行轨迹、内存检测结果和崩溃位置分析，利用价值需要结合环境判断。业务逻辑问题涉及产品规则：谁有权退款，哪些文件允许读取，不同客户的数据如何隔离。共享一套服务的不同客户组织称为“租户”，跨租户访问是否构成越权，需要依据授权规则判断。模型拥有代码之后，需要这些业务事实支持漏洞发现和验证的结论。

因此，企业评价AI审查的结果，应当观察有效发现、重复报告、漏报、复现成本和整改耗时，并能够提供触发条件、测试证据和影响分析的发现，让发现的漏洞具有进入修复讨论的基础。缺少验证条件的线索可以保留为待验证假设，把这两类产出分开管理，有助于研发根据证据安排工作。

七、企业需要建设一条能够完成修复的工作链

企业落地这类能力，可以从采购软件与基础设施、自研产品两个方向安排工作。前者关注资产清单、版本、暴露情况和补丁责任，用威胁情报与业务价值确定处置顺序；后者围绕关键组件和权限边界安排代码审查，把验证与修改放进开发流程。两条线索需要在运行环境中汇合，确认问题是否影响生产、修复是否生效。

AI工具自身的运行条件需要在接入时确定。分析代码、执行测试、安装依赖、修改仓库和发布服务，应当拥有各自的权限范围。而对应的修复建议需要经过测试与人员审核。AI提出修改，测试人员确认漏洞是否消除，研发人员检查业务行为，发布系统保留回滚路径。

另外，衡量投入效果应当观察关键风险的暴露时间、处置时长、问题复发和修复后的业务影响。对于缺少升级条件的系统，需要安排访问限制、隔离或其他缓解措施，并确定后续计划。工单负责记录进度，技术验证负责确认效果。关闭工单需要修复证据支撑，因为攻击者的日程表由目标条件决定。

结语：发现速度提高，修复结果需要有人交付

综合以上研究与案例，我们看到AI带来的变化可以从三个层面理解：它参与发现具有攻击价值的缺陷，为公开信息转化成利用能力提供工具，承载它的框架与平台形成新的防护对象。对企业而言，AI挖洞的价值需要沿着资产识别、风险判断、验证、修复和运行确认这条链路兑现，工具能力决定发现能力的提升程度，但组织能力的高低决定着防护工作能否有效完成。企业从AI漏洞研究中获得多少安全收益，取决于有多少有效发现成为了经过验证的修复。因此，所有安全价值的产出都应当至少包含漏洞数量、修复结果，以及关键业务承受的风险发生的变化。