📖 AI 总结

AI智能体正利用CVE描述等公开线索快速生成可运行的漏洞利用代码，大幅压缩从漏洞披露到实际攻击的时间窗口。剑桥大学教授Anil Madhavapeddy以亲身经历证实，其修复路径遍历漏洞的PR提交后仅几分钟，服务器日志便出现针对性探测请求。研究数据显示，GPT-4在获知CVE描述时漏洞利用成功率高达87%，无描述时仅为7%。这意味着传统依赖保密的安全流程已基本失效，开源维护者陷入两难：提交修复PR本身即可能暴露漏洞，而用户在新版本发布前就已面临风险。rclone维护者透露，项目前十年仅收到约20份漏洞报告，而上个月就超过40份。面对这一形势，业内建议转向防御前置策略，包括私下讨论漏洞、加快持续发布、实施协议层缓解措施，以及采用短期凭证和可撤销能力等架构级控制手段。