AI发现了1.4万个开源软件的漏洞

AI 把开源漏洞翻出来了，但修漏洞的人根本跟不上。

以前安全研究员花几个月挖一个洞。现在 AI 三周就扫出 1.4 万个未知漏洞。Anthropic 的模型甚至爆出近 3 万个疑似漏洞。最后人工核实了六千多个，推动修复的只有五百出头。

扫描是免费的，处理结果可不免费。维护者得逐条判断：这是真问题吗？影响多大？怎么修才不破坏兼容？每一条背后都是真实的工程时间。Node.js 今年确认了 50 个漏洞，创历史新高。维护者每周干七天，晚上还得让 AI 接着跑。

更麻烦的是，补丁公开也可能变成攻击素材。有研究用公开修复信息，针对 Firefox 造出了可运行攻击。整个过程不用人插手，成本约一千美元，最快十二小时搞定。

漏洞不会因为没人发现就消失。真正的问题不是 AI 找得太多。而是整个开源生态的修复能力没跟上。AI 找到的每一个漏洞，最终都会变成某个人的加班清单。