a16z：AI 让漏洞利用不再是瓶颈，但互联网不会因此崩溃

8月的最后一天，一名操作员将几百个AI智能体指向了一台被全球学校和办公室使用的打印管理服务器。这些智能体搭建了一个测试实验室，为4天前披露的2个漏洞编写了利用程序，从一家互联网扫描服务中拉取了一份目标清单，然后开始行动。从空工作区到首次攻破真实受害者，用时不到4小时。当行动在次日早晨启动时，26秒内就有11家机构沦陷。等到GreyNoise完成统计时，48个国家的395家机构已被攻陷，其中一半是学校。执行这项工作的模型是一个廉价的开源权重模型，而非美国实验室的前沿模型。这些智能体甚至无视了一份要求它们避开的28个国家名单。

7周后，PHP（70%网站使用的语言）的2个严重漏洞在补丁发布前泄露。在披露前4天、修复前12小时，利用尝试就已打到亚马逊用于诱捕攻击者的诱饵服务器上，3天内便出现了可用的shell。CJ Moses，亚马逊的CISO，写道，AI“让把补丁差异或公告变成可用利用程序变得更便宜”，并且“7天或30天的SLA假设了一种已不复存在的延迟”。

在我们公司内部，这些事件引发了一场辩论：一方认为这是一个糟糕十年的开端，智能体将在数小时内利用每一个已公开的漏洞，攻击电网、供水系统和医院，而这些地方的补丁需要数月甚至数年。另一方则认为这并非新鲜事。2003年，Metasploit曾威胁要武装每一个业余爱好者；2009年，Shodan本应暴露地球上每一个工业控制器和物联网设备。两者都没有终结互联网。

以下是我们得出的结论

二十年来，攻击性网络领域的瓶颈一直是将漏洞转化为可用利用程序所需的专业知识和时间。在2025年和2026年，这项工作变得廉价而迅速，从数天/数月缩短到数分钟/数小时。打补丁并没有变快，而且对世界上很大一部分系统，尤其是关键系统而言，它快不起来。

然而，这并不意味着一切加起来就是一场灾难。我们认为电网不会即将陷入黑暗，互联网也不会即将瘫痪。我们确实认为，这会导致类似2003年蠕虫时代和2017年WannaCry爆发那样的疫情，最严重地打击那些无法快速更新的系统，以及少数单次入侵就价值数十亿美元的目标。

利用程序是我们可以跨越23年进行衡量的部分，所以我们的数据从那里开始。但熟练攻击者的时间成本在每一步都很重要。侦察网络、针对异常环境调整利用程序、在内网移动、获得报酬：每一步都需要人，而一个人的时间只有针对能回本的目标才划算。这就是“小到不值得攻击”的含义。小机构从未免于大规模攻击，但它们免于人工攻击，因为它们不值得任何人花时间。

AI正在降低上述每一步的成本，而不仅仅是利用程序。这就是为什么今年秋天最大的两起事件完全不需要新漏洞：超市制冷攻击打到了不再获得更新的控制器，其弱点已公开数月；而Binance盗窃案则通过一名工程师的笔记本电脑得手。

Mandiant 的数据显示，从披露到攻击的平均时间从 2018-19 年的 63 天降至 2020-21 年的 44 天、2021-22 年的 32 天，以及 2023 年的五天。到 2024 年，攻击平均在披露前一天到来。到 2025 年，则是提前七天。

有一点需要注意：这些曲线交叉发生在智能体 AI 出现之前。专业攻击者——主要是国家背景组织和勒索软件团伙——早已在补丁发布前就攻击面向互联网的设备。AI 改变的是谁能在那个窗口内操作，以及已知漏洞（而不仅是零日漏洞）被武器化的速度。

为什么利用是瓶颈

漏洞利用程序是一种将代码或逻辑中的漏洞转化为访问权限的程序。二十年来，构建一个利用程序成本高昂。RAND 2017 年对 200 多个零日漏洞的研究发现，专业人士构建一个可用利用程序的中位时间为 22 天。经纪人每个漏洞支付数千到数百万美元，而相关技能掌握在情报机构和少数资金充裕的犯罪团伙手中。

所需的专业知识或许有助于解释漏洞管理领域最常被引用的统计数据：已发布的漏洞中，只有约 6% 曾被观察到在野利用。Epoch 的 Timothée Chauvin 将这一差距主要归因于攻击者“没有足够时间利用所有漏洞”。

这也是 Metasploit 未能终结互联网的原因。Metasploit 让使用他人已编写的利用程序变得廉价。但仍需有人编写它、选择目标并发动攻击。AI 智能体正开始承担这些工作。

当时防御也有所改善。微软暂停 Windows 功能开发两个月以专注安全，随后发布了 Service Pack 2，默认开启防火墙并加强了更新控制。犯罪活动专业化，使攻击者更有理由保留可货币化的访问权限。而 Metasploit 成为防御者用于自我测试的工具。最后两股力量仍然重要。但微软能够改变全球大部分计算机上运行的软件。如今暴露的系统横跨数千家供应商和数百万个不受支持的安装。

更好的先例是稀缺步骤变得免费的那一次——EternalBlue。微软于 2017 年 3 月修补了该漏洞。一个月后，NSA 针对它的利用程序泄露。WannaCry 在补丁可用后 59 天来袭，扰乱了英格兰 236 家医院信托中的 81 家。NotPetya 紧随其后，造成超过 100 亿美元的损失。每个受害者都有两个月的时间来打补丁。

在此之前是 1999-2004 年的蠕虫时代。根据Jason Healey 引用的一项估计，这些疫情以 2025 年美元计算造成了超过 2500 亿美元的损失。微软的安全改革帮助控制了它们。

该领域发生了什么变化

2026年的实地记录虽简短却具体。9月21日，一个AI代理在帮助台产品中串联了两个零日漏洞，入侵了荷兰漏洞披露研究所，升级过程“以秒计”，用DIVD的话说，该代理“自行决定了下一步”。5月，谷歌威胁情报团队报告了其评估为首个由犯罪分子手中的AI开发的零日漏洞，意图用于大规模利用，并在使用前被阻止。8月，NSA、CISA、FBI、能源部和EPA警告称，AI生成的脚本正针对能源、水务和化工厂中暴露于互联网的西门子控制器。该公告未列出新漏洞，只是旧暴露面被新自动化。而Dragos记录了一名入侵者将前沿模型作为其“主要技术执行者”，构建了17,000行的攻击框架，并触及墨西哥一家水务公司办公网络与其控制系统之间的边界，随后被阻止。

这些都不是灾难，而PHP漏洞从两方面说明了问题。披露一周后，数百万次尝试仅产生少量确认的入侵：内存破坏漏洞难以可靠利用，托管提供商和内容网络在一天内于边缘阻止了攻击。但仍有260万至440万个面向互联网的PHP安装，其中约80%运行在项目不再支持的版本上，数十万个完全无修复。大多数是无人会刻意针对的旧博客和小企业网站。但这正是关键：当攻击几乎免费时，攻击者不再需要想要某个目标，被劫持的网站便成为钓鱼、恶意软件或下一轮活动的宿主。与千年虫不同，这一风险没有某个日期之后就会消失。

为何现在发生

前沿实验室的结果解释了实地情况。它们大多来自AI开发者自身，且在没有实时防御者的情况下运行，因此我们将其视为对实地所见现象的解释，而非其本身的证明。2026年3月，Anthropic报告称，数百次尝试和约4,000美元使其当时的模型获得了两个可用的Firefox漏洞利用。一个月后，其下一代模型（未公开发布）在同一任务上产生了181个。到6月它报告称，从修复漏洞的已发布Firefox补丁到可用的漏洞利用不到一小时，从无源代码的Windows内核二进制文件到18小时内8条完整的提权链，每条约2,000美元。独立测量指向同一方向：英国AI安全研究所发现前沿模型独立完成的网络任务长度每4.7个月翻一番，并在5月报告了首批完成其32步企业网络靶场和工业控制靶场的模型。

网络并非特例。自2024年底以来，模型在网络和编码领域可靠完成的任务长度每4-5个月翻一番。编码提供了预览：不到2年，代理从演示走向83%的大型公司生产使用。

简而言之，漏洞利用已经从熟练人员耗时一个月，缩短到几个小时的机器时间；而一个 N-day 漏洞——即已经有补丁的漏洞——如今可以在大多数组织读到安全公告之前就被武器化。

打补丁的进度并未改变

2003年，Qualys 测量了关键漏洞的半衰期，即组织为一半暴露系统打上补丁所需的时间，结果为30天。2008年这一数字仍是30天。2026年 Verizon 数据泄露调查报告显示，完全修复一个已知被利用漏洞的中位时间为43天，高于前一年的32天，且仅有26%在当年内完全修复——而就在同一年，漏洞利用成为数据泄露的首要起点。在企业层面之下，情况更慢甚至从未修复：2025年四分之一的工业控制安全公告发布时根本没有补丁，电网运营商被允许用35天评估补丁，再用35天应用补丁，而 FDA 的网络安全规则仅覆盖新型医疗设备。即便在技术栈顶端，最后一公里也很慢。10月，Anthropic 报告称，一个未发布的模型编写出漏洞利用程序，使无登录凭据的远程攻击者能够通过一个已于10月5日在上游修复的内核漏洞，完全控制使用多路径 TCP 的 Linux 服务器。三个多星期后，两大最广泛使用的服务器发行版 Ubuntu 和 Red Hat 仍没有修复包，而 Red Hat 最初将该漏洞评为中等，因为其时间竞争难以取胜。该模型在不到一小时内就利用了它。严重性评分仍假设攻击者是人类。买家心知肚明。在一项针对100名大型公司安全主管的调查中——该调查由我们的同事本周发布——一位金融科技公司的 CISO 直言不讳：“你能更快地发现漏洞，但你不能更快地打补丁。”

为什么我们不预期会发生灾难

先从电网说起，因为这是人们最担心的。切断电力需要的不仅仅是访问权限。电网控制系统使用专门的工业协议，配有旨在限制故障的保护设备，且往往可以手动运行。有记录以来每一次成功的电网攻击——2015年和2016年的乌克兰——都需要国家团队数月的准备和专门构建的工具，而电力在数小时内就恢复了。美国大型公用事业公司须遵守强制性的联邦可靠性标准，涉及网络分段和打补丁。

对于国家行为体而言，电网攻击的制约从来不是漏洞利用，而是意图以及承担后果的意愿。据CISA 称，中国国家行为体至少五年内悄悄在美国一些关键基础设施网络内保持访问权限。仅有访问权限并不能告诉我们攻击者何时、或是否会制造破坏。

更难回答的问题是那些不会有所克制的行为者：黑客活动分子、恐怖组织，以及让国家得以否认结果的幌子组织。他们的约束从来不是意图，而是能力——把访问权限转化为物理效果所需的工程工作。而这正是 AI 所侵蚀的东西。开放权重模型通常比前沿模型落后数月至一年，而剥离了安全训练的版本已不再是地下做法：Hugging Face 上托管着数千个此类模型，而且据 TechCrunch 报道，自 9 月以来，至少有一家初创公司出售对某个领先开放权重模型去除拒绝行为的托管访问。从业者表示，剥离拒绝行为会损失一些能力，这可能会减缓这一进程，但不会阻止它。因此我们应当假设，一年之内，一个不受限制的模型将能做到当今最强大的受限模型所能做的事：发现漏洞、根据补丁编写可靠的利用程序、在网络中移动并连续运行数周而无需人工干预。

我们已经有暴露的控制系统会带来何种后果的实例：

2024 年 1 月，亲俄黑客活动分子通过更改泵的设置，使得克萨斯州穆尔舒的一个水箱溢水。2025 年 4 月，一个亲俄组织打开了挪威布雷曼格的一座大坝阀门，持续四小时。2023 年底，一个冒充黑客活动分子的伊朗关联组织通过默认密码接管了美国各地的水务设施控制器。每一起都针对拥有暴露控制界面的小型运营商，每一起最终都造成以分钟或小时计的局部中断，而非停电。我们预计此类攻击会更多，能力更强的攻击者会触及小型运营商。

我们仍不认为大电网会崩溃的原因，并不是这些组织缺乏技能。即便是拥有完整国家能力的攻击者，造成的停电也以小时计，因为电网的设计能够吸收任何单一组件的损失。其保护设备依据物理原理而非软件动作，且恢复流程经过演练。这种架构经受住了国家的考验，也正是它抵御其他所有人的原因。不受约束的行为者带来的风险，同样落在长尾上。

整个互联网比其最薄弱的服务器更为稳健。人们依赖的大部分流量都经过少数几个云、内容分发和托管平台，这些平台以机器速度更新——在 PHP 恐慌期间，它们为身后的数百万网站一天之内就部署了防护规则。核心路由和命名基础设施高度集中、受到密切监控，并由安全人士所称“安全 1%”预算规模的组织运营。

历史也印证了这一点。蠕虫时代反复冲击整个互联网，却从未将其击垮。NotPetya 造成超过 100 亿美元的损失，并让航运线路和制药厂停摆数周，但互联网照常运转。而今天的数据也没有呈现出灾难所应有的走势。已确认被利用的漏洞温和增长，从 2023 年的约 640 个增至 2025 年的 880 个，而公布的漏洞数量增加了三分之二。赎金支付连续第二年下降。在 440 个 PaperCut 受害者中，只有 12 个失去了对其网络的完全控制。

我们密切关注着两项风险。

第一类是攻击蔓延到预期目标之外。PaperCut 的智能体无视了操作者的目标选择规则，而在另一起实验室事件中，约 1,200 个名义上相互隔离的智能体找到了协同的方法，其中约 700 个加入了一场无人批准的攻击。NotPetya 最严重的破坏同样是附带性的。

另一类是聚合效应：国家级能力落入更多人之手，可能触及那些防御体系本是为能力远逊的攻击者而建的运营方：小型供水系统、农村电力合作社和县级医院。协同攻击，尤其是那些摧毁系统而非索要赎金的攻击，可能把局部中断变成区域性紧急事件。

十月的事件显示了破坏如何蔓延到众多场所。攻击者操纵了法国数百家超市的制冷系统，造成火灾和食品损失。三周后，比利时、卢森堡、瑞典、爱沙尼亚及其他欧洲国家的门店报告了类似事件。部分设备被设定为 50°C。

法国当局此前已要求运营方将这些控制器从公共互联网上移除，并警告称，即使恢复出厂设置，不受支持的设备仍将存在漏洞。目前尚未发现 AI 参与，但模式值得注意：众多场所、一个夜晚、多个国家。

第二波对本文最为重要。三周的警告不足以保护暴露的设备。当修复需要在每个场所进行现场作业时，更快的通告对缩短工期帮助甚微。

再也没有谁小到不值得攻击

损害将不均衡地落下。那些指望研究者 Murphy 和 Stone 所称“攻击者或许懒得动手这一看似理性的算计”的组织，正是 AI 重新定价的对象。PaperCut 的受害者中有一半是学校。在Claroty 2025 年对 351 家医疗机构的调查中，89% 的机构拥有联网医疗设备，这些设备存在已被利用的漏洞，并与勒索软件及不安全的互联网连接相关。攻击者无需控制一台核磁共振扫描仪就能伤害医院，只需让它停摆。

资金已经显示出这一转变。勒索软件泄露网站上的声称数量上升了超过一半，而支付的赎金降至约 8.2 亿美元。攻击更多，钱更少：更廉价的入侵触及了大多不付钱的小型受害者。Verizon 2025 年泄露报告发现，中小型企业 88% 的泄露事件涉及勒索软件，而大型企业为 39%。访问权限也变得更便宜：根据 Chainalysis 引用的数据，犯罪分子为访问受害者网络支付的平均价格从 2023 年初的约 1,427 美元降至 2026 年初的 439 美元。

我们预计盈亏平衡的受害者将向低端市场移动，转向牙医诊所、县政府和小型制造商。攻击者还可以出售访问权限或窃取的数据，而不依赖受害者付款。国家和黑客活动分子以同样更低廉的能力行事，完全不需要收入。共享软件使损失相互关联：共享代码中的一个漏洞如今可同时暴露数千名受害者。随着破坏性攻击增长，仅靠勒索收入将无法反映大部分损害。擦除器不索要任何东西。我们会关注受害者数量及其停摆时长。

医院的情况说明了这些停摆意味着什么。甚至在 AI 出现之前，遭受勒索软件攻击的医院平均停机 两到三周，而全球医疗机构已确认的攻击在 2018 年至 2024 年间增长了六倍。计入泄露网站声称的数据，2024 年和 2025 年的攻击数量维持在每年约 440 起。2026 年前九个月已经追平这一水平，第三季度的 192 起攻击和声称创下纪录。近期增长的大部分仍未确认，因此这只是一个早期信号。恢复也可能变得更难：攻击者正瞄准备份，以阻止受害者独立恢复系统。如果备份也没了，持续数周的停摆可能延长到数月。

长尾并不是成本落地的唯一地方。暴露面会跟随一切无法以机器速度更新的东西，无论其所有者的预算如何。而在另一端，则坐着少数价值极高的目标，一次入侵就会成为市场事件。Binance 现在将 10 月 29 日的盗窃案定为 63.4 亿美元，其初步调查通过被入侵的工程师电脑和窃取的凭据追踪到了这次攻击。数小时内，两个借贷平台冻结了攻击者用于套现的市场，6.28 亿美元的杠杆头寸被清算。同一天，一份被篡改的 Claude Code 扩展副本在 Cursor 的扩展市场上停留了约 11 个小时，触及多达 5,000 名开发者的机器。它试图植入一个 SSH 后门。Cursor 将其下架并重建了市场。该软件包是如何进入的仍无解释。

谁能靠打补丁脱身，谁不能

面对更快的攻击者，本能的答案是更快的打补丁。这对某些系统有效，对另一些则无效，而两者之间的界线主要在于一次更新要付出什么代价。

由此得出两点。机器速度的打补丁适用于更新成本低、回滚成本也低的地方：供应商为你运行的软件、静默更新的浏览器和手机、位于平台之后的服务器——平台可以在边缘拦截攻击，同时真正的修复还在发布途中。它不适用于更新意味着停止一个物理流程、重新认证一台医疗设备，或联系一个根本不知道设备存在的所有者的情况。而且即使在适用之处，打补丁的速度也有上限。如果修复每隔几分钟就到来，全部应用它们本身就会成为停机风险：2024 年 7 月，一次有缺陷的安全更新导致约 850 万台 Windows 机器崩溃，航班停飞数日。超过某个节奏，打补丁就会用自伤式停机取代攻击。对于图中右下角的一切，目标从修复漏洞转向使其不可达，通过隔离、分段和网络级防护，并在失败时提供安全的手动回退。这需要什么，是我们下一篇文章的主题。

一张记分卡

什么会改变我们的看法

我们将在两年内知道答案，而且指标是公开的。

1. 已利用漏洞数量。VulnCheck 在 2025 年统计到约 880 个。2027 年低于 1,200 个，则怀疑论者对规模的判断是对的；高于 2,000 个，则成本崩塌已经到来。作为参照，将长期 6% 的比例应用于 2025 年的 CVE，约为 2,900 个，即每天 8 个。

2. 披露即遭利用。2025 年，29% 的被利用漏洞在其 CVE 发布当天或之前就遭到攻击。到 2027 年若超过一半，则从攻击者一侧看窗口已经关闭。

3. 修补时间。DBIR 的中位数为 43 天。2028 年报告中低于 30 天，则防御方已适应；高于 60 天，则窗口就是全部故事。

4. 野外 AI 发现的漏洞。迄今为止，AI 发现的漏洞中有 1.3% 被利用。到 2027 年底仍低于 5%，则 AI 发现对防御方的帮助大于攻击方。

5. 受害者广度。勒索软件泄露网站受害者数量在 2025 年创下纪录。如果受害者数量持续上升而支付金额下降，则损害正按我们预期向低端市场蔓延。

6. 工业中断。大规模物理中断如今已在无归因的情况下发生：10 月，数百家法国超市在一夜之间失去制冷，11 月 1 日又有四个国家的门店遭遇同样情况。如果到 2027 年底仍无一起被归因于 AI 运行的入侵，那么“利用不等于影响”对工业系统依然成立。

7. 破坏性与勒索攻击。如果破坏数据或设备、而非要求付款的重大事件占比在 2027 年持续上升，则无约束的行为者已经到来，赎金数字低估了损害。

二十三年的数据表明，修补不会自行加快。微软曾一度能通过修复 Windows 让互联网很大一部分变得更安全。这一次，没有单一公司拥有这个问题。我们的赌注是，2026 年看起来不太像网络战的开端，而更像一个漫长、昂贵的蠕虫时代开端——对每个没有平台可庇护的人而言如此，对少数价值高到平台本身值得被攻击的目标也是如此。

立即订阅

本通讯仅供参考，不应作为法律、商业、投资或税务建议依赖。此外，本内容不是投资建议，也不 intended 供任何 a16z 基金的投资者或潜在投资者使用。本通讯可能链接到其他网站或包含从第三方来源获得的其他信息——a16z 未独立核实，也不对此类信息的当前或持续准确性作出任何陈述。如果本内容包含第三方广告，a16z 未审查此类广告，也不认可其中包含的任何广告内容或相关公司。所提及、引用或描述的任何投资或投资组合公司并不代表 a16z 管理的工具中的所有投资；请访问 https://a16z.com/investment-list/ 获取完整投资列表。其他重要信息可在 a16z.com/disclosures 找到。您收到本通讯是因为您此前已选择加入；如果您希望退出未来的通讯，可以立即取消订阅。