"漏洞海啸"将至：AI 时代，监管检查盯上了

前两天 PHP 爆出俩严重漏洞，欧洲一堆政府网站和医院吓得连夜下线。不是被黑了，是没人敢赌。

这俩洞能让没登录的攻击者直接远程执行代码。以前想利用得串好几个缺陷、反复试错，成本极高；现在 AI 一上手，门槛被削矮了一大截。

AI 挖洞已经从“偶尔发现”变成“批量扫描”。Anthropic 的工具半年筛出 2.9 万条候选线索，人工才处理了六千多。Google 的 Big Sleep 甚至提前拦下了一次即将发生的攻击。

更扎心的是监管也盯上了这事。10 月刚施行的公安部 176 号令，查的不再是“有没有洞”，而是“能不能修好”。一次安全事件不是交完罚款就翻篇，整改质量和时效直接决定你未来几年的压力等级。

补丁发出来只是第一步。供水、电力、医疗这些系统还不能轻易停机。企业得提前建好资产清单，把漏洞处置变成日常运营——毕竟漏洞来了，最怕的就是处置跟不上。