AI 能力越来越强大，软件安全风险挑战激增

前两天 Anthropic 发了个大新闻：他们拿内部 AI 模型在 Linux 内核里挖出了一个 9.8 分的漏洞，还顺手写出了能直接拿服务器 root 权限的利用代码。

这漏洞出在内核处理 TCP 握手时的一个内存释放 bug。AI 先花了 48 分钟泄露内核地址绕过防护，又用 5 分钟搞定了远程命令执行。最绝的是，攻击失败了只会让这次连接断开，完全不影响系统运行，可以一直反复试。

很多人以为关掉 MPTCP 就安全了，其实普通 TCP 同样受影响。特别是用 Go 1.24 及以上版本写的服务，默认会开启 MPTCP，开发者可能根本不知道自己的端口已经中招。

目前上游内核和 Debian 已经发了补丁，Ubuntu 和 RHEL 还在推进。现在最实在的办法就是赶紧查一下系统版本，打上补丁并重启；等不及的话，可以用防火墙临时把带 IP 选项的数据包给拦了。