引言：一道被算错的算术题

过去两年，整个网络安全行业都在热烈讨论同一个话题：AI将如何颠覆漏洞产业。平安PSRC关停、Google赏金下调、Bugcrowd平台报告量暴涨300%——所有这些标志性事件，似乎都在指向同一个结论：

白帽子的末日来了。

但如果我们稍微转动一下望远镜，从攻击者的视角重新审视这同一组数据，会看到一个截然不同的故事——一个行业讳莫如深的讽刺真相：

AI并没有削弱攻击者的能力。相反，它让攻击者的相对优势达到了历史最高峰。当企业花重金打造AI防御体系、试图用机器对抗机器的时候，一个被刻意回避的事实在于：在这场AI军备竞赛中，攻击者始终占据着不对称的下风——而AI的出现，让这个下风变成了深渊。

一、被所有人忽视的前提：防守方的"不可能三角"

讨论AI如何改变安全格局，有一个被默认忽略、却决定一切的前提：

防守和攻击，根本不是同一类型的任务。

1.1 攻击是"或门"，防守是"与门"

在安全领域，流传着一个经典的类比：系统被攻破只需要一个漏洞，而系统安全需要所有环节都不出问题。这个类比在AI时代获得了全新的含义。

当企业部署AI安全工具时，它在做什么？它在说："我需要AI帮我发现并修复我所有系统中的所有漏洞。"这是一个要求100%成功的任务。

当攻击者使用AI时，他在做什么？他在说："我只需要AI帮我找到一个可以利用的漏洞。"这是一个允许无限次失败、成功一次就够的任务。

AI让"找到第一个漏洞"这件事变得无比廉价——但这个"一"，对企业"必须防住所有"来说，却是彻底的失败。

1.2 成本结构的不对称

这张表格揭示了一个冷酷的事实：同样的AI技术，在攻击者和防御者手中，产生的价值完全不对等。

二、AI让"垃圾洞"变多，但真正值钱的洞更值钱了

原文中提到，AI让大量"模式化漏洞"涌入SRC平台，有效性不足15%。这个判断是正确的，但它只说对了一半。

2.1 "长尾漏洞"消失，"高价值漏洞"的壁垒反而更高

AI确实消灭了"长尾漏洞"经济——那些靠找SQL注入、XSS等通用漏洞糊口的白帽子，确实进入了生存倒计时。但这恰恰意味着：

真正有价值的漏洞，从未如此稀缺。

当低垂的果实被AI摘尽，攻击者想要突破目标，唯一的路径是：找到那些AI也难以发现的漏洞——业务逻辑漏洞、供应链攻击路径、0day利用链。这些漏洞的发现门槛被AI无限抬高，但一旦发现，其价值不是下降，而是指数级上升。

2.2 攻击者"降本"的红利，远远超过防御者

让我们做一道简单的经济学题：

假设某企业去年花在漏洞赏金和SRC运营上的预算是500万元，捕获漏洞平均每个成本1万元，全年发现并修复500个漏洞。

AI时代，这个数字变成：企业用AI自动化工具，成本降低到200万，发现漏洞1000个——看起来效率提升了。

但与此同时，攻击者使用同样的AI工具，原本需要10个经验丰富研究员才能发现的高危漏洞，现在1个人+AI就能搞定。攻击成本从年薪百万级降低到了工具订阅费。

企业的"节省"是线性的，攻击者的"节省"是指数的。这才是真正的算术结果。

三、供应链攻击：AI让"城门失火"变成"城门常失火"

原文提到了"供应链隐蔽攻击面"，但没有充分展开这个点的战略价值。在AI时代，这个漏洞类型的战略价值被严重低估了。

3.1 AI让供应链情报的收集变得前所未有的简单

传统的供应链攻击，需要攻击者深入研究目标的技术栈、第三方依赖、CI/CD流程，这需要大量人力和时间。

AI工具可以自动化完成这一切：自动分析GitHub提交历史识别内部技术栈，自动扫描npm/PyPI依赖树发现易受攻击的版本，自动探测CI/CD配置漏洞。这让供应链攻击的"侦察成本"趋近于零。

3.2 开源生态：攻击者的"无限金矿"，防守方的"无限噩梦"

全球开源生态中，每天有数以万计的新版本发布。AI可以让攻击者在这片汪洋大海中，以极低成本筛选出那些被大量企业使用、但版本老旧、更新缓慢的依赖包。

一个典型的场景：攻击者用AI扫描主流开源库，发现某个版本存在尚未公开的0day漏洞，然后自动化构造针对所有使用该版本企业的攻击payload——从发现到武器化，全流程AI完成。

而防守方呢？需要盘点所有内部开源依赖、评估影响范围、制定修复计划——这些工作目前还很难被AI完全自动化。

四、企业"AI安全投入"可能是个假命题

4.1 你在训练AI，攻击者在使用AI——这不是同一件事

大量企业在做的事，是用内部数据训练自己的AI安全模型，然后用它来检测漏洞。这面临一个根本困境：

你的AI模型是基于"已知的攻击模式"训练的。而攻击者用的AI，是基于"全球所有公开漏洞数据"训练的。

更致命的是：攻击者在使用最新一代的大语言模型，这些模型的漏洞知识库在持续更新；而企业自训模型的训练数据有天然的时间滞后，且样本量远不及攻击者使用的公共数据。

4.2 "合规≠安全"的讽刺在AI时代加倍放大

在传统安全时代，业界已经意识到"合规做得好，安全不一定好"。但AI时代，这个差距被显著放大了。

企业购买一套AI安全扫描工具，通过了安全审计，完成了合规要求——但这意味着什么？意味着它能防御"工具所覆盖的攻击模式"。而一个创新型攻击者，从来不需要按照工具的设计者预期的方式出牌。

当防御变成"用AI对抗AI已知的攻击"，防守方始终在追赶，永远在落后一步。这不是技术问题，而是防御的本质所决定的。

五、被忽略的群体：资源不对等的全球网络安全鸿沟

原文大量讨论了"白帽子"群体的生存问题。但有一个角度从未被触及：AI时代，网络攻击的门槛降低，对全球网络安全格局产生了深刻的地缘政治影响。

5.1 "小角色"的攻击能力跃升

传统上，高级持续性威胁（APT）只有国家级攻击者或大型网络犯罪组织才有能力实施。其背后是：资金、人才、基础设施——缺一不可。

AI改变了这个等式：

这张表意味着：一个中等规模的黑产组织，甚至是一个技术能力中上的独立黑客，在AI加持下，其攻击能力已经可以媲美过去百人规模的专业团队。

5.2 防守资源的不平等，比攻击资源的平等化更危险

攻击能力的"民主化"听起来像是某种进步，但它有一个致命副作用：当攻击的门槛降低，所有人的安全水位并没有同步提升——因为防守资源无法"民主化"。

中小企业没有预算部署企业级AI安全工具，没有专业安全团队，更没有能力运营自己的威胁情报体系。当AI让攻击者的能力大幅跃升，这些企业面对的攻击压力也在同步上升——但他们获得保护的能力，却几乎没有变化。

这将制造一个巨大的网络安全鸿沟：少数有能力投入AI防御的企业，与大量无力自保的中小企业之间的安全落差，将达到历史最高水平。

六、讽刺的核心：整个行业都在帮攻击者省钱

让我们回到文章开头提出的问题：平安关闭PSRC，到底谁是赢家？

原文的答案是：企业省钱，AI内部化安全能力，效率更高。

但这个"省钱"是真实的吗？让我们重新审视这个逻辑链条：

1.企业关闭外部SRC → 减少漏洞情报输入

2.转而依赖内部AI → AI训练数据减少（外部提交被拒），模型能力天花板降低

3.攻击者仍在持续使用外部情报→ 信息差扩大，攻击者反而拥有更全面的攻击情报

4.结果：企业防御视野收窄，攻击者视野拓宽，安全性不升反降

这个逻辑链条，恰恰是整个行业在AI时代最需要直视的讽刺：

我们以为在"内化AI能力"，实际上是在"关闭外部窗户"。而窗外，攻击者正在AI的帮助下，把每一扇窗都看得清清楚楚。

七、真正的出路：不是防守AI化，而是让攻击者的"不对称优势"消失

那么，正确的方向在哪里？

原文给出的答案是：白帽子需要"与AI共生进化"，SRC需要"精英化"。这些方向都是对的，但它们都是在既有框架内的优化，并没有触及问题的根本。

7.1 根本解法：提高攻击成本，而不只是提高防御效率

当前所有关于"AI安全"的讨论，出发点都是"如何用AI更好地防守"。但真正的战略思维，应该是"如何系统性地提高攻击者的攻击成本"。

具体来说，有几个被忽视的方向：

●强制漏洞情报共享机制：当前，每个企业的SRC是独立运作的。攻击者在A企业发现的漏洞，可以立即用于攻击所有使用同类系统的B、C、D企业——但A没有义务通知他们。构建漏洞情报强制披露机制，才能真正压缩攻击者的"一劳永逸"空间。

●AI生成漏洞的归因与标记：当AI生成的漏洞报告泛滥，防御方需要有能力区分"人类发现"和"AI批量生产"。对真实人类发现的高价值漏洞给予更高激励，对AI批量提交降低赏金——这不是歧视，而是对人类创造力的合理定价。

●让AI本身成为防守的"不对称优势"：防守方应该利用AI做攻击者无法利用的事：实时全局威胁感知、跨行业攻击模式关联、自动化的应急响应协同。这些能力一旦形成规模，可以让整个行业的防御水位整体抬升——攻击者的"不对称优势"将随之消解。

7.2 行业需要一场关于"安全公平"的范式转换

AI时代的安全博弈，本质上是一场关于"公平"的博弈。当攻击工具变得普惠，防御工具也必须普惠；当攻击能力的差距在缩小，防御能力的差距绝不能继续扩大。

这需要行业领导者、政府监管机构和安全企业之间形成新的协作框架：

结语：听见了冰层碎裂的声音，但谁在制造它？

原文的结语写道："听见遥远冰层碎裂声音的，不应只有白帽子。"

这个比喻值得延续：

冰层碎裂的声音，确实越来越清晰了。但我们需要追问：是白帽子在制造这场地震，还是整个行业集体推动了一场自我削弱的地壳运动？

当所有企业都在忙着"用AI替代白帽子"的时候，它们或许正在做一件最符合攻击者利益的事：

消灭那个一直以来，都在免费替整个互联网社会看门的群体。

白帽子SRC的黄金时代确实在终结——但讽刺的是，它的终结，并不会让互联网变得更安全。它只会让那些不需要SRC、也不需要白帽子的攻击者，变得更加肆无忌惮。

真正的安全，从来不是因为防守变强了。而是因为攻击者知道，有一群人，在不眠不休地盯着他们。