Cloudflare CEO：AI 将持续挖出关键软件漏洞数年

大引言：Cloudflare CEO Matthew Prince 表示，上周迫使网站下线的 PHP 漏洞只是开始。他的公司已经知道关键软件中还存在其他严重漏洞，他预计 AI 工具会在未来数年持续发现新的漏洞。由于这些模型大幅缩短了发现和利用严重漏洞所需的时间并降低了技能门槛，在互联网核心软件最终变得更安全之前，防御者和普通用户将面临一段漫长的动荡期。

Prince 对路透社表示，Cloudflare 知道“其他关键软件中还存在一系列额外的严重漏洞”，但他没有点名受影响的程序。他将这些漏洞与最近迫使政府网站、游戏商店 GOG 以及许多小型网站下线的 PHP 漏洞相提并论，当时这些网站的运营者匆忙打补丁。

据一些估计，PHP 运行在全球约 70% 的网站上，这种覆盖面使这些漏洞成为进入互联网一些访问量最大目的地的潜在入口。例如，TechSpot 一直运行在 PHP 上，出于谨慎，我们当天早上也不得不更新了服务器。我们想象维基百科、Microsoft.com 以及无数基于 WordPress 的网站也发生了类似情况，它们都受到了影响。

Prince 预计这种情况会持续发生。“我认为我们将会有几年时间，感觉每一周都像天要塌下来一样，”他说。

他归咎于大语言模型。安全研究人员和犯罪分子都在利用它们来梳理互联网的核心软件，寻找此前无人发现的弱点。直到最近，这项工作的速度取决于有多少熟练人员有时间和耐心阅读复杂代码。攻击者在试图将漏洞转化为可用的利用程序时也面临同样的限制。

—— Matthew Prince 🌥 (@eastdakota) 2026年10月24日

这一限制如今已不那么重要。一个人可以指挥一群 LLM 代理针对一个代码库工作，这些代理能在数小时内产出过去需要专家数周才能完成的东西。

Wiz Research 是借助 LLM 工具发现 PHP 漏洞的团队之一，该团队在其技术报告中描述了这一变化。“前沿模型对于使这一过程变得可行至关重要，使我们能够在数小时内为多个应用开发并调整出可用的利用程序，”该公司写道。“随着这项工作所需的时间和专业知识减少，复杂性可能不再构成有意义的障碍，从而改变我们在实践中界定何为易受攻击的方式。”

这与安全领域长期以来的一个假设相悖：难以理解的代码之所以部分受到保护，是因为很少有人能将其拆解。当模型完成这项工作时，晦涩复杂的代码变得和简单代码一样易于触及。

电子前沿基金会（EFF）用数字说明了这一变化的速度。它表示，有史以来记录的所有软件漏洞中有 3% 是在仅 10 月这一个月内发现的，而今年发现的漏洞占所有已知安全问题的近四分之一。EFF 将零日漏洞发现变得廉价归功于 OpenAI、Anthropic 等公司开发的前沿 AI 模型，无论开源还是专有代码都是如此。

据 EFF 称，在 10 月的最后两周，多个严重到可能破坏互联网大部分区域的漏洞被报告并修复，其中许多存在于互联网大部分运行所依赖的开源软件中。

据 EFF 称，在 10 月的最后两周，多个严重到可能破坏互联网大部分区域的漏洞被报告并修复，其中许多存在于互联网大部分运行所依赖的开源软件中。工程师们长期以来一直接受这样一个事实：广泛使用的程序存在漏洞，而更复杂的程序漏洞更多。使情况保持可控的是发现漏洞的成本。能够扰乱整个互联网的重大漏洞过去每隔几年才出现一次，而较小的修复则在后台稳步进行。

Prince 和 EFF 都预计情况在好转之前会先恶化。EFF 表示，更多系统将更频繁地被入侵，数据泄露的可能性将增加，随着攻击增多，一些服务可能会中断。

该组织的建议主要归结为基本的安全习惯：它建议保持浏览器和所有应用程序完全更新，使用密码管理器并为每个网站设置不同的密码，这样一次泄露不会暴露其他账户，安装跟踪器拦截工具（如其 Privacy Badger 扩展），并警惕网络钓鱼。任何运营博客或网站的人都应确认自己或其托管服务提供商已应用 PHP 修复。

EFF 还鼓励就根本问题进行更广泛的讨论，包括依赖开源代码的公司应如何帮助维护开源代码，以及应如何监管大型科技公司。

Prince 预计问题最终会缓解。模型发现的每一个漏洞和开发者修复的每一个漏洞，都会让软件比之前更安全。“现实是，我们会把很多这类问题清理干净，”他说。悬而未决的问题是，在那之前会造成多大损害。