AI减速谈判之际，安全漏洞却已呈爆炸式增长

据WIRED报道，全球主要AI实验室正在私下讨论一项行业协议，旨在主动放缓前沿模型的开发节奏。这一讨论的背景是业界对AI能力失控的持续担忧——从超级智能风险到就业冲击，再到模型被恶意利用的可能性。然而，就在这些讨论进行的同时，一个更为紧迫的现实正在浮现：广泛可用的AI聊天机器人已经在帮助安全研究者发现数量惊人的软件漏洞，一场安全漏洞的“爆炸”已然发生。

漏洞挖掘的民主化

过去，发现软件漏洞是一项高度专业化的工作，需要深厚的逆向工程能力、对特定代码库的熟悉，以及昂贵的模糊测试工具。如今，大语言模型正在改变这一格局。安全研究者发现，AI聊天机器人能够快速分析代码片段、识别潜在的安全缺陷、甚至生成概念验证攻击代码。这意味着漏洞发现的效率被提升了数个数量级。

据安全行业观察，自AI编码助手普及以来，开源项目和商业软件中报告的漏洞数量出现了显著增长。这并非因为软件突然变得更不安全，而是因为发现漏洞的门槛被大幅降低了。一个具备基本安全知识的研究者，借助AI工具，可以在数小时内完成过去需要数周才能完成的代码审计工作。

“我们正在目睹漏洞发现从手工艺时代进入工业化时代。AI让每个人都拥有了一个不知疲倦的安全研究员。”——某安全公司研究员

“AI减速”谈判的悖论

AI实验室讨论放缓开发的动机可以理解：如果前沿模型的能力继续指数级增长，社会可能来不及建立相应的安全护栏。但问题在于，这种“减速”谈判本身存在一个根本性悖论——即使顶级实验室同意放缓，已经部署的AI系统仍在持续产生安全影响。

当前广泛可用的AI聊天机器人，其能力已经足以辅助漏洞挖掘。这些系统不会因为新的行业协议而被召回或降级。换言之，AI安全漏洞的爆炸性增长并非一个未来风险，而是正在发生的现实。讨论“是否放缓”的前提，已经落后于“已经发生什么”的事实。

攻击者的同等优势

更令人担忧的是，防御者获得的能力提升，攻击者同样能够获取。如果AI可以帮助安全团队发现漏洞，它同样可以帮助恶意行为者发现可攻击的目标。安全社区普遍认为，AI辅助攻击的时代已经到来，只是公开披露的案例仍然有限。

这种攻防双方能力的同步提升，可能导致一个“漏洞军备竞赛”的新阶段。防御方需要以更快的速度修补漏洞，而攻击方则能够以更低的成本发现和利用它们。在这场竞赛中，软件供应链的复杂性使问题更加棘手——一个被广泛使用的开源库中的漏洞，可能同时影响数千个下游产品。

行业影响与政策困境

对于企业而言，这意味着安全预算和响应流程需要根本性调整。传统的季度安全审计节奏已经无法跟上AI辅助漏洞发现的步伐。持续监控、自动化修补和更快速的应急响应正在成为必需。

对于政策制定者而言，困境同样明显。如果对AI开发施加过于严格的限制，可能将创新推向监管更宽松的司法管辖区；如果放任不管，漏洞爆炸的负面影响可能削弱公众对数字基础设施的信任。目前，尚无任何一个国家找到了令人满意的平衡点。

值得注意的是，AI实验室讨论的“减速协议”主要聚焦于前沿模型的能力边界，而非已部署系统的安全影响。这意味着，即使协议达成，它也不太可能直接遏制当前正在发生的漏洞爆炸。真正的挑战在于：如何在不妨碍有益应用的前提下，管理AI辅助漏洞发现带来的安全外部性。

编者按

AI安全讨论往往聚焦于遥远的“存在性风险”，却忽视了正在发生的“现实性风险”。漏洞爆炸是AI能力扩散的第一个系统性副作用，它提醒我们：治理框架需要从“防止未来灾难”转向“管理当前影响”。在AI实验室争论是否踩刹车的时候，漏洞发现的列车已经驶出了站台。对于安全从业者和企业决策者而言，现在需要做的不是等待行业协议，而是重新评估自身的安全策略是否足以应对一个漏洞发现速度提升十倍的世界。

本文编译自WIRED