负7天：当攻击窗口倒转，防守者还剩多少时间？——漏洞利用平均发生在补丁发布前7天。这句话，正在重写网络安全的时间规则

序：两种声音，两种错误

人工智能进入网络安全领域之后，围绕它的讨论很快被两种截然对立的情绪瓜分。

一种声音充满末日预言：大模型即将让零日漏洞呈指数级暴涨，过去只有顶级漏洞研究团队才能完成的逆向分析和利用开发，将被自动化系统低成本复制，网络攻击将全面失控。

另一种声音则不以为然：AI生成的漏洞报告充斥着错误代码、虚构接口和无法运行的利用程序，大模型距离真正理解复杂软件还差得远，所谓"AI黑客"不过是营销概念。

这两种判断，都过于简单。

从2026年上半年的一系列数据和事件来看，真正发生变化的，不是零日漏洞的总量，而是漏洞生命周期的"形状"——漏洞发现、利用开发、公开披露、补丁发布和企业修复之间，过去相对稳定的先后顺序，正在被打乱。

SafeBreach进攻性网络安全工程师Adrian Culley将这种变化概括为一句话："零日曲线改变的是形状，而不是数量。"

这句话，可能比"AI是否会发现更多漏洞"更接近当前网络安全行业真正需要直面的问题。

一、前沿模型的网络攻击能力，已经不再停留在概念阶段

判断AI网络威胁是否真实，首先不能只看它能不能生成一段漏洞利用代码。

一段能运行的脚本，并不等于完整的攻击能力。真实网络行动要求攻击者持续理解环境、处理错误、选择目标、调用工具，并把多个分散步骤连接成完整的攻击链。

近年来的评测结果显示，前沿模型在这方面已经跨过了一个重要门槛。

美国国防高级研究计划局举办的AI网络挑战赛中，参赛的自动化网络推理系统需要在数千万行真实开源代码中寻找漏洞并生成对应补丁。最终，这些系统在63项挑战中发现了54个植入的合成漏洞，修复其中43个，同时还发现了18个此前未知的真实漏洞。进入决赛的系统随后以开源形式发布，自动化漏洞挖掘技术的全球使用门槛由此进一步下降。

英国人工智能安全研究所的测试则将这一图景延伸得更远。在一项名为"The Last Ones"的测试中，模型需要完成一条包含32个步骤的企业网络攻击链，从初始侦察开始，途经凭据窃取、跨网段横向移动、Active Directory渗透、持续集成和持续交付供应链跳转，最终访问受保护的内部数据库。研究人员估计，一名人类专家完成整条链路约需20小时。而较新的Claude Mythos Preview检查点在10次尝试中有6次完成了整条攻击链。

这种进步也开始影响模型厂商的发布策略。Anthropic在发布Claude Opus 4.7时明确表示，在训练阶段尝试"差异化降低"模型的进攻性网络能力，并针对经过验证的安全研究人员建立了专门访问计划。OpenAI也将GPT-5.5列为具有"高等级"网络安全能力的模型，同时通过身份认证和滥用监控限制高风险操作。

当模型开发商开始主动压低某一类能力，并对相关访问进行分级管理时，这本身就说明能力边界已经进入了必须严肃治理的区域。Culley对此的判断非常直接："能力已经抵达前沿，厂商甚至开始在训练阶段主动降低它。"

二、零日漏洞没有暴增，但攻击目标发生了结构性迁移

AI能力明显增强之后，一个自然的问题是：现实世界中的零日漏洞是否已经出现爆发式增长？

现有数据给出的答案是否定的。

Google威胁情报团队在2025年追踪到90个遭到实际利用的零日漏洞，高于2024年的78个，但低于2023年的100个。从过去数年的整体情况看，零日漏洞数量依然处在大约60至100个的波动区间内。更准确的描述是"反弹"，而不是"暴增"。

但是，零日攻击的目标结构发生了明显变化。

2025年，90个被追踪的零日漏洞中，有43个影响企业级产品，占比达到48%，为相关统计中的历史最高水平。攻击者的注意力正在从传统浏览器目标，转向企业边界设备、身份系统、虚拟化平台、VPN、协作系统和网络安全设备本身。

这种迁移并不难理解。攻击一个普通用户的浏览器，往往只能获得一台终端的控制权；而攻破一台VPN设备、身份服务器或虚拟化平台，可能直接获得整个组织的入口。特别是防火墙、路由器和安全管理设备，本身处在网络边界，拥有较高权限，却往往无法部署传统终端检测软件，日志能力有限，取证难度较高。

攻击者在这些设备中能够获得更隐蔽、更持久的立足点。

零日漏洞的数量没有失控，但每一个零日漏洞所能触达的企业资产和身份权限，比过去更具战略价值。

三、真正危险的数字，不是零日总量，而是"负7天"

这是整件事最令人警醒的数字。

Mandiant在《M-Trends 2026》中估算，2025年被观察到实际利用的漏洞，其平均利用时间已经下降到负7天。

所谓"负7天"，意味着攻击活动平均出现在补丁发布之前。

这并不是说所有漏洞都会提前7天被利用。该数据来自Mandiant参与调查的安全事件样本，天然更偏向勒索攻击和高级持续性威胁，存在选择性偏差。但它所反映的方向无可否认：在最危险、最有价值的一批漏洞中，传统的"公告发布—分析风险—测试补丁—安排维护窗口—完成部署"流程，已经追不上攻击速度。

其他独立数据同样支持这一趋势。Rapid7的统计显示，高危和严重漏洞从公开到遭到利用的平均时间，已由61天下降到28.5天；2025年进入美国网络安全和基础设施安全局已知被利用漏洞目录的漏洞中，29%在CVE正式发布当天或更早便已遭到攻击。2025年得到确认利用的高危漏洞数量同比增长105%。

这意味着，对最关键的一部分漏洞而言，"补丁窗口缩短"已经不足以描述现实——补丁窗口正在发生倒置。

过去，企业可能拥有几周时间评估补丁；后来，这个窗口缩短到几天；现在，部分漏洞在补丁出现之前就已经被武器化。安全团队不再总能依靠厂商补丁作为第一道防线。

四、攻击侧已经出现AI开发零日利用的真实案例

尽管AI尚未造成零日数量暴涨，但攻防两侧都出现了具有标志意义的案例。

在防守侧，Google的Big Sleep智能体发现了SQLite中的一项漏洞。威胁情报团队此前已经观察到攻击者可能正在准备相关利用，但尚未确定具体漏洞。Big Sleep根据这些线索定位到根本缺陷，使漏洞在遭到实际利用前得到修复。这被Google称为AI智能体直接阻止真实在野漏洞利用企图的首个案例。

而在攻击侧，Google威胁情报团队披露了一段被用于绕过双因素认证的Python零日利用代码，攻击者计划将其用于大规模漏洞利用活动，相关行动在实施前遭到干扰。研究人员高度确信，攻击者在发现和武器化漏洞的过程中使用了AI。

有趣的是，暴露AI参与痕迹的，并不是某种复杂技术水印，而是代码风格本身。

这段脚本包含大量教学式文档说明、结构过于完整的帮助菜单，以及一个凭空生成的CVSS评分。代码整洁得像教材，却又保留了真实漏洞开发者通常不会花时间添加的冗余结构。AI生成代码时惯常的"自我解释"习惯，反而成了识别它的线索。

这个案例的深层意义在于：AI可以帮助攻击者发现传统模糊测试和静态分析工具不容易捕捉的逻辑漏洞。传统自动化工具擅长发现崩溃、越界访问和危险函数调用，却不一定能够理解一套认证机制的设计意图。大模型则可能通过上下文推理发现：某个硬编码例外条件虽然在程序层面运行正常，却与双因素认证的整体安全目标相互矛盾。

这种高层语义漏洞，正是前沿模型可能带来实质性改变的领域。

五、22秒的交接，对比一周的部署

漏洞利用速度持续提高，背后还有一个容易被忽视的结构性原因：网络犯罪供应链的工业化。

在成熟的勒索软件生态中，最初进入企业网络的人，可能并不负责最终加密数据。初始访问经纪人负责获取账号、漏洞入口或远程访问权限，再将这些访问权出售或交给勒索软件团伙。

相关统计显示，初始访问经纪人将权限交给勒索软件附属成员的中位时间，已经缩短到22秒。

22秒并不意味着攻击者在22秒内完成了一场勒索行动，而是说明犯罪供应链中的权限交付已经实现了高度自动化。访问凭据、聊天平台、支付渠道和攻击工具被连接起来，网络入侵能力像商品一样快速流转。

与之相对，77%的组织仍需要至少一周时间部署补丁。攻击者从获得初始立足点到横向移动出原始系统，可能只有几十分钟。

这构成了当代漏洞治理最核心的矛盾：攻击者的工作流按照秒和分钟计算，企业的变更流程仍按照天和周运行。

六、防守落后的根源，不是缺少模型，而是组织速度

AI工具本身具有明显的双重用途。同一类模型既可以帮助攻击者分析代码，也可以帮助防守者寻找漏洞、分析恶意软件、编写检测规则和自动处理告警。从能力上看，攻防双方都能获得提升。

问题在于，双方部署能力的方式并不对称。

Culley引用了一句极具概括力的话："进攻随着算力扩展，防守却随着委员会扩展。"

攻击者的失败成本极低。一次漏洞利用代码无法运行，可以马上修改；一个目标无法攻破，可以立即切换。防守方则必须面对生产稳定性、变更审批、合规要求、采购周期、跨部门协调和责任追踪。即使安全团队已经判断某项措施有必要，也未必能够立刻执行。

这就是为什么越来越多安全负责人认同AI智能体可以承担一级安全运营任务，但真正愿意完全自动化基础处置流程的组织仍然有限。企业担心自动隔离造成业务中断，担心AI误删账号，担心自动封禁阻断合法访问。这些担忧完全合理，却也客观上限制了防守速度。

AI时代真正的攻防不对称，不一定来自模型能力差距，而来自部署机制差距。

七、企业需要从"补丁完成率"转向"暴露窗口"

当利用发生在补丁之前，仅用补丁服务等级协议衡量安全能力已经不够。

企业仍然必须及时修复漏洞，但应当增加一个更能反映真实风险的指标：暴露窗口——从漏洞开始对企业产生现实威胁，到安全控制能够发现、阻断或限制攻击之间的时间差。

在补丁尚未出现时，企业是否能够通过Web应用防火墙、网络隔离、身份策略和最小权限限制攻击面？补丁发布但无法立即部署时，是否已经关闭不必要的公网入口？关键服务器无法停机时，是否能够暂时限制管理接口、轮换凭据或加强行为监控？

真正成熟的漏洞管理，不应只回答"什么时候打完补丁"，还要回答"在补丁完成之前，攻击者能否到达关键资产"。

一个CVSS评分很高的漏洞，如果不在企业环境中暴露，也不存在通往核心资产的攻击路径，其实际优先级可能低于一个评分稍低、却能直接访问身份系统的漏洞。漏洞管理需要与攻击面管理、身份安全、威胁情报和安全控制验证真正结合起来，而不是停留在CVSS排队打补丁的节奏上。

八、安全控制必须被持续验证，而不是被默认有效

很多企业已经部署了防火墙、终端检测与响应、数据防泄漏、身份管理和安全信息与事件管理平台。

但"购买了安全工具"与"安全工具能阻止当前攻击"，并不是同一个概念。

规则可能没有开启，日志可能没有接入，终端代理可能处于异常状态，网络流量可能绕过检测点，身份策略也可能存在例外配置。面对不断缩短的漏洞利用周期，企业需要持续模拟真实攻击技术，验证现有控制是否真正生效。

安全团队需要知道的，不只是"是否存在某个漏洞"，而是：攻击者能否利用它进入环境？现有网络控制能否阻断利用流量？终端检测能否发现后续行为？修复完成后，攻击路径是否真的关闭？

这种验证不应只在年度渗透测试时进行，而应成为持续运行的安全过程。在AI和自动化推动下，攻击技术和绕过方法的更新速度，已经超过了传统年度评估周期所能覆盖的范围。

尾声：改变的首先不是漏洞数量，而是留给防守者的时间

目前的数据并不支持"AI已经制造零日漏洞海啸"的说法。商业监控产业、国家级攻击组织、边缘设备暴露面扩大、自动化扫描基础设施和公开概念验证代码，依然是推动现实攻击的重要因素。

但如果因此得出"AI威胁被夸大"的结论，同样会忽视正在发生的根本性变化。

前沿模型已经能够完成长链条网络任务，自动化漏洞发现的成本正在下降，攻击者首次使用AI开发真实零日利用的案例已经出现。最重要的是，漏洞生命周期已经不再严格遵守过去的顺序。

攻击可能先于公告，利用可能先于补丁，犯罪团伙之间的访问交接只需要22秒，而企业部署修复仍然需要数天乃至数周。

这就是AI时代网络安全真正的危险所在。

它未必立即创造更多漏洞，却让既有漏洞更快转化为攻击能力；它未必让每一个攻击者都成为顶级专家，却能让成熟攻击流程以更低成本复制；它未必直接击败企业的安全工具，却会不断压缩安全团队判断和行动的时间。

当平均利用时间进入"负数"，防守方需要改变的就不只是补丁速度。

未来的安全竞争，最终可能不取决于谁发现了更多漏洞，而取决于当漏洞出现时，谁能更早完成下一步。

在那之前留给防守者的时间，正在以肉眼可见的速度，变得更短。

合作电话：18610811242

合作微信：aqniu001

联系邮箱：bd@aqniu.com