河北
网络安全公司CrowdStrike总裁迈克·森托纳斯表示，平均每天公开披露的新漏洞超过100个。曾经的涓涓细流已变成滔滔洪流，眼看就要让负责维护关键系统安全的组织不堪重负。
森托纳斯自2016年起在CrowdStrike工作，在网络安全行业摸爬滚打了20多年。他认为，这个问题已经变得如此严重，以至于如果要把所有可用的修复程序都测试并安装一遍，就难免要冒自身系统中断的风险，这对大型组织来说根本做不到。因此，安全团队只能被迫判断，哪些漏洞威胁最大，优先处理。
而且这个问题很可能还会恶化。再过几个月，能够高速发现软件漏洞的AI系统可能会让积压的漏洞数量大幅膨胀，同时也会让攻击者获得同样的工具，把新发现的漏洞变成真正能用的攻击武器。森托纳斯说：“从理论上讲，我们一觉醒来，就会发现零日漏洞一下子爆炸式增长，而且没有补丁。”
AI模型识别零日漏洞——也就是在软件厂商发布补丁之前就能被利用的漏洞——的速度，对在自己系统里排查漏洞的防御方来说可能是好消息。但这也意味着，这些漏洞从藏在某个软件里，到被人发现并变成攻击工具，速度会比以前快得多。
森托纳斯说：“前沿AI将大大缩短漏洞出现到被人发现如何利用之间的时间。”
哪些组织会最先面临这些问题，可能取决于网络安全在其运营中的嵌入程度。银行、工厂、医院和公用事业公司往往依赖较旧的机械设备和老旧硬件，这些设备往往没法快速升级，否则就会影响关键服务的正常运行。森托纳斯预计它们将属于首批受影响的对象。
它们还将面临一个量级上的问题。“过去的问题是，‘我每周需要打哪10个补丁？’”他说。“未来将变成，‘我每周需要应对哪10个零日漏洞？’”
为了管理这一威胁，企业将不得不更加依赖“补偿性控制”（也就是在没有补丁可用时，用来降低漏洞风险的其他措施）。这些措施可能包括隔离网络的某些部分、限制对系统的访问、监控是否有被利用的迹象，或取消那些让用户和软件拥有过大权限的长期授权。
森托纳斯说，人工智能也可以协助这项工作。“我们可以开始把这种能力放到我们的产品里，让客户能以前所未有的速度发现漏洞。”
但他警告说：“你不能将风险外包。风险是你自己的。这是你自己的网络。”
员工纷纷使用人工智能，又增加了一层风险。“人工智能代理被入侵、运行时被操控、凭证窃取、内存投毒、代理间滥用、工具滥用——这简直是一个全新的领域，”Sentonas 说。
问题是，技术变化太快，让情况更复杂了。为某个模型或代理写的安全策略，等走完审批流程，可能就已经过时了。
Sentonas 说，首席信息安全官们已经不断接到公司董事会打来的紧急电话，询问最新系统意味着什么以及怎么安全地用起来。在 Anthropic（Claude 聊天机器人的出品方）发布最新模型 Mythos 之后，这些担忧就更严重了。“全世界的首席信息安全官和安全经理，没有一个没接到过 CEO 或董事打来的惊慌电话，”他说。
许多公司仍然对人工智能寄予厚望，期待它能减少工作量、加速决策，并提高员工生产力。但森托纳斯认为，它带来的第一个影响可能就是让事情变得更复杂。他说：“这项被寄予厚望、本应让我们的生活更轻松的技术，实际上在很多方面反而让事情变得更加复杂。”
开放模型的兴起带来了另一个挑战。它们的能力正在迅速逼近那些曾经只有管控最严格的系统才具备的水平。一旦这类工具广泛可用，攻击者将不再需要自行构建先进的漏洞发现系统。
留给安全团队的时间不多了，他们需要梳理组织中的人工智能使用情况、限制访问权限、扫描自身代码，并为这样一个世界做好准备：从发现漏洞到被利用，中间可能只有几个小时，而不是几周。
森托纳斯认为，威胁将继续演变。他说：“我们现在所处的这个世界，其复杂程度从现在起每个月都会发生剧烈变化。”
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
