点一甄选 | 世界必须行动起来，阻止一场网络灾难（TE文章精选）- 大数跨境

点一咨询PointOneAnalysis

2026-11-07

各国政府应当确保防御方拥有比攻击方更好的模型

这个月本该是"网络安全意识月"。专家如今称之为"黑色十月"。近几周来，工程师们必须不断堵住的那些寻常黑客攻击与软件漏洞，已汇成一股洪流。祸首是人工智能，它为网络犯罪装上了涡轮增压。开源AI模型让攻击者获得了非人的效率、能力与韧性。结果是，本需数年才会暴露的关键漏洞，几天之内便被揭开。

这些漏洞有的令人震惊，有的简直荒唐。工程师们紧急修补了广泛使用的编程语言PHP中的一个漏洞，该漏洞可让攻击者接管任何使用PHP的电脑。欧洲各地超市的冷柜，在 cyber 罪犯的指令下断电停机。而一张至关重要的互联网安全证书，被曝其私钥竟然只是"4"，而它本应有上百位数字那么长。至于私下还有多少漏洞已被找出并加以利用，无人知晓。

对本刊在内的许多评论者而言，这些事件是一记清醒的当头棒喝——他们原本希望，AI给网络安全带来的混乱只是暂时的，而且比起助长不法分子，这项技术对数字系统防御方的帮助会更大。这些期望正在破灭。恰恰相反，现代生活所依赖的数字基础设施，在AI面前显得愈发脆弱。必须采取紧急行动来守护它。

防御方为何如此吃力？第一个原因是，他们中许多人手里并没有最先进的工具。今年4月，领先的模型开发商Anthropic推出了"玻璃翼计划"（Project Glasswing）——一个仅限受邀者加入的俱乐部，成员可以使用其前沿模型完整的网络攻防能力。该公司原本打算大幅扩大成员范围。OpenAI也推出了类似计划，承诺让其工具的使用更加普及。

第二个问题在于，AI被滥用时会产生"误伤"效应。针对新发现漏洞的"补丁"一经发布，黑客的AI模型就能研究它。这可能恰好暴露出弱点究竟在哪里，以及如何在尚未修补的系统上加以利用。如果防御方真不走运——PHP的情况便是如此——补丁可能在发布给防御方用于修补代码之前就已泄露。攻击者便可趁系统仍无防护之际下手。

最后一个问题是，攻击者能更快、更大规模地利用那些平淡无奇的弱点（见商业板块）。网络安全不只是理论上备有强固的系统，更在于实践中不留疏漏。遗憾的是，AI让人为的疏忽更易被利用，却没有让电脑用户变得更聪明。一台联网的冰箱，若运行着过时软件或使用默认密码，几十年来一直是安全隐患。但直到现在，攻击者才发现，自动化地搜寻并利用薄弱环节竟是如此容易，可以同时发起成千上万次攻击。

企业与政府必须果断行动，应对这些威胁。在"网络军备"上制造不对称至关重要。在火力相当时，防御方靠的是一项微弱的天然优势：他们只需找到并修补单个漏洞——那些孤立存在、理论上可能被用来制造入侵的问题。而攻击者通常需要掌握一整条漏洞链，才能攻破一个系统。

那些尚未持续运用AI来查找并封堵安全漏洞的组织，已经落后于形势，必须迎头赶上。有些机构需要更多帮助。在美国，得克萨斯州"分水岭250计划"（Project Watershed 250）等项目正向基础设施提供商输送资源，帮助他们做好基础工作。这类努力应当扩大。假以时日，软件业或许能够对部分代码进行形式化验证，从而证明其无法被攻破，就像数学家证明一个定理那样。

商业、基础设施与人际关系，如今都建立在一个假设之上：互联网是安全的。因此，网络安全的骤然丧失将对社会构成严重威胁。过去一个月里，网络安全意识有所提升。接下来，必须付诸行动。

【声明】内容源于网络

点一咨询PointOneAnalysis

点一咨询（Point One Analysis）：国际问题分析，安全风险评估，政府关系筹划。关注中国海外利益保护，为中国企业和人员“走出去”提供可靠的安全产品和服务。

内容 838

粉丝 0

点一咨询PointOneAnalysis 点一咨询（Point One Analysis）：国际问题分析，安全风险评估，政府关系筹划。关注中国海外利益保护，为中国企业和人员“走出去”提供可靠的安全产品和服务。

总阅读21.5k

粉丝0

内容838