这是新的网络常态吗？

原文 ↗ Hacker News 讨论 ↗

最近一波高影响软件漏洞——包括 PHP 等核心基础设施中的 AI 辅助利用——让许多工程师开始思考，持续不断的 0-day 是否已经成了“新的网络常态”。评论者意见分裂：有人认为这是 LLM 正在快速挖掘数十年遗留代码中长期潜伏漏洞所造成的短暂飙升；也有人认为，AI 生成的“垃圾代码”和更快的利用链会让压力长期居高不下。尽管看法不同，大家普遍同意安全必须左移——走向内存安全语言、更简单的架构、基于 LLM 的自动审计以及更快的修补——因为攻击者和防御者如今都能使用同样强大的工具。

总体问题：“新常态”还是短暂飙升？

  • 有人认为这是一种过渡性的“淘金热”：LLM 正在清理长期积压的漏洞，所以一旦代码被更系统地扫描和重写，新高影响漏洞的出现率最终会下降。
  • 也有人认为这是真正的“新常态”（甚至还会更糟）：跨多个方向的近乎零日利用正在发生，而且从披露到大规模利用之间的窗口正在急剧缩短。
  • 第三种观点：这只是被放大到 11 的旧常态；蠕虫、糟糕的 CA 和草率的软件一直都存在，只是 LLM 同时加速了发现与利用。

AI 的双重角色：攻击者与防御者

  • 攻击者现在可以借助 LLM 低成本地进行代码审查、fuzzing、漏洞开发和 OSINT。这让原本冷门、所谓“理论上的”漏洞变得现实可利用。
  • 防御者也可以使用 LLM：持续渗透测试、自动化代码审查、依赖升级以及扫描遗留代码。一些人表示，在采用 LLM 工具后，客户报告的问题更少了，渗透测试结果也更好了。
  • 关于协调披露的争论：对漏洞的提示可能已经足够让攻击者迅速用 LLM 重建利用方式，从而削弱传统的 embargo 模式。

AI 生成代码的安全性

  • 一派认为：AI 生成的代码在安全性上“臭名昭著地糟糕”，很容易带来 SQLi、XSS、缺失认证、糟糕的配置和不安全的部署模式——尤其当开发者盲目信任机器人并跳过审查时。
  • 另一派认为：现代前沿模型可以生成非常防御性的代码，并捕捉许多高优先级问题，尤其是在多步骤“生成 → 审查 → 审计”的流水线中，并配合明确的安全提示时。
  • 担忧包括：
    • 没有人类监督的“vibe coding”和代码洪水。
    • AI 选择过时或无人维护的库，或不是复用而是重新实现本可直接使用的硬化库。
    • 过度依赖针对旧模型的过时研究。

漏洞是有限的还是无穷无尽的

  • 有人断言：每个代码库中的严重漏洞池是有限的；一旦 LLM 把能找到的都找完了，局面就会平静下来。
  • 也有人反驳：持续变更、复杂规范以及图灵完备系统会不断产生新漏洞；只有形式化验证过的，或被极大简化的技术栈，才可能真正限制这一点。

软件实践与架构的变化

  • 有人呼吁：
    • 使用内存安全语言（例如减少使用 C/C++），采用更简单的架构、更少的依赖，以及更小的攻击面。
    • 将 LLM 安全扫描像测试/CI 一样对待：作为标准发布前步骤。
    • 也许需要更多 LTS/仅安全更新版本，以及更静态、更简单的系统；甚至有人谈到让关键系统离线运行。
  • 也有人怀疑，当前的激励机制（速度、削减成本、“先发出去再说”）是否能支撑所需的纪律。

其他反复出现的主题

  • 关闭源代码（例如 NHS 风格）被视为薄弱的保护：反编译和 AI 辅助的 fuzzing 仍然有效。
  • 担心小团队和非“大玩家”会被快速、模糊的披露周期不成比例地伤害。
  • 大体共识是：人类的安全意识很低，长期投入不足，而且如果没有文化或监管层面的变化，LLM 会同时放大优点和缺点。