a16z：AI 时代漏洞利用快于补丁，纵深防御需按机器速度重建
a16z 作者 Asaf Ezra 发文指出，AI 让漏洞利用成本骤降而补丁节奏未变，2026 年 Verizon 报告中位修复时间为 43 天，Veracode 统计平均修复时间为 252 天。
a16z：News· Asaf Ezra·2026-11-07 01:00· 35 分钟前AI 评分56
纵深防御，为机器速度而重建
AI 导读
a16z 作者 Asaf Ezra 论证 AI 使漏洞利用成本骤降而补丁节奏未变，2026 年 Verizon 报告中位修复时间 43 天，Veracode 平均 252 天。
正文 · 原文
在上一篇文章中，我们论证了攻击性网络领域的瓶颈在于将漏洞转化为可用漏洞利用的专业工作。在 2025 年和 2026 年，这项工作变得廉价。打补丁并没有变快。本文讨论的是接下来会发生什么。我们的观点是，漏洞利用与补丁之间的差距不会通过更努力地打补丁来弥合，未来五年真正重要的产品和政策，将是那些即使系统无法快速打补丁也能保护系统的产品和政策。
10 月，PHP（支撑大部分 Web 的语言）的两个严重漏洞在修复前泄露。漏洞利用尝试在公开披露前四天就开始了。幸运的是，托管和内容分发公司可以在边缘阻止攻击，而底层服务器仍未打补丁。与此同时，260 万到 440 万个 PHP 安装处于该保护伞之外，仍然暴露，其中大多数运行在永远不会获得修复的版本上。
那一周就是缩影。防护不必等待补丁。其他人可以站在攻击者和漏洞之间。
算术上说不通
打补丁是一个逐漏洞、由人把关的过程。必须有人了解漏洞、找到受影响的系统、测试修复、安排补丁时间，并在打补丁后确认一切正常。这些步骤仍然需要数周。2026 年 Verizon 泄露报告给出的中位完全修复时间为 43 天，并发现其数据集中只有 26% 的已知被利用漏洞得到完全修复。Veracode 2025 年报告给出的平均缺陷修复时间为 252 天，高于五年前的 171 天。
发现环节的进展则不同。AI 系统可以按类别搜索漏洞，并帮助在数小时内将已发布的修复转化为可用的漏洞利用。10 月，Anthropic 报告称，一个未发布的模型为一个 Linux 内核漏洞生成了远程、无需登录的漏洞利用，该漏洞数周前已在上游修复，而两个最广泛使用的服务器发行版仍没有修复包。Red Hat 曾将该漏洞评为中等，因为其时间竞争很难获胜。该模型在不到一小时内就赢了。
即使打补丁可以加速，部署本身也带有中断风险。2024 年 7 月，一次有问题的 CrowdStrike 更新导致约 850 万台 Windows 机器崩溃。如果需要每天部署数百或数千次补丁，那只是用攻击换来了自己造成的停机。
所以问题不是如何更快地打补丁。而是如何不再需要打补丁。
那些永远无法及时打补丁的东西
对于更新按设计就很慢的机器，情况最为严峻，而这些机器一旦失败就是物理性的。
工业控制系统。电网、水务和工厂控制器在维护窗口期打补丁，往往一年一次，且要等供应商完成回归测试之后。有时根本不存在修复方案：Dragos 发现，2025 年的工业安全公告中约四分之一在发布时完全没有补丁或缓解措施，而只有 2% 的工业漏洞需要立即处理——其余的都只能等待。美国电网规则允许用 35 天评估补丁，再用 35 天应用补丁。
医疗设备。输液泵、成像系统和 ECMO 机器的使用寿命为 10 到 20 年，往往运行在已不受支持的操作系统上，而打补丁可能意味着重新认证。FDA 的网络安全规则仅适用于新设备。在 2025 年的一项调查中，89% 的医院系统拥有存在已知被利用漏洞的联网设备。
车辆。较新的车队采用空中下载更新。较旧的车队则没有，而软件召回的速度取决于安全监管的速度。
其他一切带芯片的东西。楼宇控制器、摄像头、路由器和冰箱往往没有更新渠道，也没有知道它们在线的主人。10 月，攻击者在一夜之间加热了数百家法国超市的制冷设备，主要通过已停止支持、不再获得修复的控制器。国家网络安全机构给出的唯一建议是断开它们。三周后，同样的攻击袭击了比利时、卢森堡、瑞典和爱沙尼亚的门店，而比利时一家连锁店的承包商表示，修复需要对每一台设备进行物理改造。
对所有这些而言，打补丁从来都不是真正的控制手段。它只是一种希望。真正有效的控制手段在设备之外。
什么能规模化，按覆盖范围排序
有四种方法可以保护无法快速打补丁的设备。我们按它们深入长尾的程度进行排序。
1. 让它脱离开放互联网。最无害的漏洞利用是无法到达目标的利用。当 Censys 的研究人员发现近 400 个水务控制屏幕暴露在网上，其中 40 个允许无需登录即可控制时，他们与 EPA 和供应商合作联系到了所有者。九天内，四分之一已得到保护。到 2025 年 5 月，仍暴露在外的不足 6%。整个过程没有涉及任何补丁，而且推进速度比任何补丁周期都快。
实际问题在于，运营人员和承包商需要远程访问。要求他们拔掉设备往往会失败。有效的做法是给他们一种负担得起的方式，在不公开暴露的情况下保留远程访问，并通过他们本就服从的某个对象来触达他们：监管机构、供应商、他们的互联网服务提供商或他们的保险公司。
由谁来传达信息很重要。在一项针对受感染消费设备的研究中，欧洲一家互联网服务提供商的隔离并通知流程在 14 天内清除了 92% 的感染。电子邮件警告的效果并不比什么都不说更好。AI 让发现暴露几乎不费成本。通知所有者并让他们采取行动才是困难的部分。
2. 对必须保持隔离的部分进行分段隔离。今年5月，Dragos记录了一名入侵者，其使用前沿模型作为主要操作者，该入侵者抵达了墨西哥一家水务公司办公网络与控制系统之间的边界，并在那里停下。控制网络被隔离墙隔开。分段隔离虽老旧且不起眼，但它能防止网络入侵演变为物理事件。这些边界必须得到维护，包括承包商和远程管理员使用的路由。
3. 以机器速度在网络中阻断攻击。PHP那一周展示了奏效时的样子：数小时内编写出防护规则，并部署在数百万台服务器之前。这种模式有时被称为虚拟补丁，此前主要是大型平台的Web流量产品。下一步是利用编写漏洞利用程序的同一AI，从每次披露中自动生成这些规则，并将它们推送到不在大型平台背后的地方：工业协议、医院网络和小型企业路由器。
4. 消除整个类别。最持久的修复是消除这类漏洞而非单个实例。谷歌报告称，内存安全漏洞占Android漏洞的比例从2019年的76%降至2024年的24%，主要方式是用内存安全语言编写新代码。形式化验证、更安全的默认设置和加固的协议库可以减少其他反复出现的弱点。这很缓慢，且最后才触及长尾，但它是唯一真正减少待发现漏洞数量的方法。
还有两项投资应与之并列：安全回退和替换。水厂需要能够手动操作，医院需要能够用纸笔工作一周。而有些设备实在太旧，经济上无法保护，需要淘汰。
恢复是所有人都会忘记的控制措施
上述四项防御都降低了风险。但没有一项能将风险降至零。对于长尾而言，决定一次攻击是糟糕的一周还是损失一个季度的，是备份是否有效。攻击者知道这一点。
备份现在是主要目标。在Sophos 2024年对勒索软件受害者的调查中，94%表示攻击者曾试图破坏其备份，其中57%的尝试成功了。Mandiant的最新报告描述了领先的勒索软件团伙同时攻击备份基础设施、身份服务和虚拟机管理程序管理，并直接删除云备份。CISA关于Akira团伙的最新公告将备份服务器软件的漏洞利用列为入侵途径之一。
信心并未跟上。在Veeam 2026年的调查中，90%的领导者表示他们能达到恢复目标，但只有28%的受害者找回了全部数据。在Sophos的医疗调查中，使用备份恢复加密数据的比例从三年前的72%降至2025年的51%。而丢失备份代价高昂。备份遭到破坏的受害者报告的中位恢复成本约为300万美元，而备份幸存的则为37.5万美元。
教训在于：备份是攻击面的一部分，而非保险。备份需要受保护的凭据、入侵者无法轻易篡改的副本、与攻击者最先利用的访问路径隔离，以及定期的恢复测试。“我们有备份”不是一种姿态。“上周二我们在四小时内从昨晚的副本恢复了医院的记录系统”才是。
这把伞有形状，也有代价
如果答案是另有他人在攻击者与易受攻击的系统之间挡着，那么这个人是谁就很重要。如今，这个角色由少数几家云、内容和安全公司扮演。仅最大的内容分发网络一家，现在就挡在所有网站的四分之一前面，而十年前这一比例还不到4%。这种集中正是PHP那一周安然度过的原因。它同时也是单点故障：2024年7月的宕机源于一家安全厂商的一个错误更新，让美国最大的几家公司损失估计54亿美元，而保险预计只覆盖其中的10%到20%。它还引出一个国家和监管机构才刚刚开始提出的主权问题，正如Jason Healey所指出的：当少数几家美国平台决定哪些流量能到达世界各地的服务器时，该适用谁的规则？
无论如何，经济规律都在把方向推向一边。防御单个资产的成本与以往大致相同，而攻击它的成本却越来越低。随着时间推移，长尾群体只有两个选择：躲到某个平台之下，或者把暴露的基础设施撤出互联网。两者都不做的组织——县水务系统、诊所和小制造商——正是数据报道所显示已经在付出代价的那些。
政策层面：修复他人的机器
有些所有者不会行动，因为他们不知道、负担不起，或者已不复存在。那么问题就变成：他人是否可以介入。
有先例可循。2021年4月，美国法院授权FBI从数百台所有者未采取行动的私有Exchange服务器上清除恶意Web Shell。在2023年12月的一次行动中（次月披露），另一份法院命令允许其从数百台小型办公室路由器上清除一个中国国家僵尸网络，其中大多数已超出厂商支持范围。两者都是针对特定公司的有限干预。要求更广泛干预的压力将会增长：先通知，再隔离，然后修复那些危及其他设备的设备。这是一项真实的公民自由权衡，现在辩论比在危机中临时拼凑要好。
我们看到的机遇
我们认为会胜出的类别有一个共同特征：它们让打补丁变得不必要，或者变成别人的工作。每一类还将多个类别合而为一。当一款产品把发现漏洞、保护运行中的系统和验证修复贯穿起来时，这些环节都会变得更有用。
旧类别单独存在时，在这个新世界里面临沦为一项功能的风险。拿下合并后类别、并从其最难的部分入手的公司，才有机会成为一代传奇。我们至少看到6个机遇。
1. 先实时修复，再修复代码。渗透测试、漏洞管理和应用安全合为一个闭环。旧规则是源代码即真相，生产环境随之而行。安全速度正在打破这条规则。
我们相信，新一代解决方案能在数小时内缓解运行系统中的漏洞：一条丢弃恶意请求的边缘规则、一个检查函数输入并拒绝漏洞利用的进程内钩子，或者一个无需重启即可在内存中应用的补丁，正如多年来实时内核补丁所做的那样。
跟上这些实时修复一直不切实际：补丁太多，内部和第三方库的版本太多。赌注在于，编码智能体能够以机器速度应用特定版本的实时修复，并且对兼容性有很高的信心。随后，智能体会针对实际部署的确切库和 API 版本编写修复，打开拉取请求并确认两者匹配。
销售动作源于同样的能力：在一天内破坏潜在客户当前的版本，然后对带有实时防护的系统运行同样的攻击，并看着它们失败。
同样的机制也适用于供应商一侧，在那里谁付费更清晰。一个在数天而非数周内发布内核修复的 Linux 发行版，能让所有客户更快获得修复。欧洲的《网络韧性法案》增加了压力：自 2026 年 9 月起，受涵盖的制造商必须在得知漏洞正被利用后 24 小时内发出预警。从 2027 年 12 月起，他们还将负责在每个产品的支持期内处理漏洞。
风险正是我们第一篇文章中提到的：以机器速度发布的不良修复会造成自身造成的停机，因此分阶段推出和自动回滚是产品的一部分，而不是附加功能。
如何接入。实时修复需要有地方运行，而大多数公司已经有了这些地方：内容分发边缘、API 网关、服务网格，以及应用程序进程内能够挂钩函数或在内存中修补函数的轻量级代理。
该产品读取公告，检查已部署版本，并编写覆盖该漏洞的最窄实时修复。它针对实时或录制的流量进行测试，尽可能使用仅观察模式，并分阶段强制执行修复，同时支持自动回滚。
代码修复在第二条轨道上运行：AI 针对生产环境中的版本编写补丁，重放录制的流量以证明没有破坏任何东西，打开拉取请求，并在真正的修复发布后停用实时修复。
重要的数字是从披露到防护的小时数、到永久修复的天数，以及实时修复阻止合法流量的频率。在供应商一侧，同样的循环将一项修复一次性向后移植到每个受支持的版本。
实时修复运行在哪里。边缘规则、进程内钩子和内存补丁各自覆盖一个已知漏洞。更深的一层覆盖该技术，包括在公告存在之前。
编写漏洞利用正变得越来越便宜，但许多仍然依赖于防御者可以观察的系统上的熟悉操作，而且即使漏洞各不相同，漏洞利用所依赖的技术也只是一份简短的清单。在 2025 年发布的 48,185 个漏洞中，有 884 个被新利用，而 CISA 自己的审查发现，其被利用清单背后的大多数弱点类型都是业界几十年来已知如何预防的。
同样的进程内插桩，放置在解析不可信输入或代码进入操作系统的地方，为小模型提供判断是否正在发生利用的位置，并具备升级到更大模型的可能路径。该产品防御的是反复出现的攻击技术，而不是追逐每一个漏洞。在漏洞利用验证试验中，每一次漏判都会成为训练数据。难点在于速度和误报。这一切并不能让一家公司变得无懈可击。它缩小的是攻击者所依赖的攻击面。
如何接入。大多数漏洞利用都会经过少数几个关键节点：将不可信字节转换为对象的解析器和反序列化器；构建数据库查询和 shell 命令的代码；管理内存或执行生成代码的运行时操作；以及调用操作系统来运行程序、打开文件或使内存可执行。
在这些节点设置钩子，可以捕捉漏洞转化为控制权的那一刻，例如 Web 服务器突然启动一个 shell。路径中的小模型会在请求内决定是允许、阻止还是升级。
更大的模型或分析师会在数秒内审查升级事件，并可将新规则推送到边缘，反馈到上层的防护中。干预措施从丢弃请求到终止进程或隔离机器不等。
2. 无需规则检测，优先响应。AI SOC、事件响应和托管检测合为一体服务。
如今的检测依赖人们编写和维护的规则，而每条规则都会以两种方式之一失效。过于具体，就会漏掉下一个变体。过于宽泛，就会让本已超出任何团队阅读能力的告警队列更加臃肿，真实告警就是这样和其他告警一起被忽略的。在 Vectra 的 2026 年调查中，安全团队每天看到约 3,000 条告警，其中 63% 从未被处理。在另一项调查中，40% 的人关闭或考虑关闭某条检测规则，因为他们跟不上它产生的告警，而 60% 的人见过无人调查的告警演变成真实事件。
另一个限制因素是，相当一部分证据根本到不了 SIEM。摄取和存储成本迫使团队丢弃他们认为的噪声。我们认为会胜出的版本直接从已部署的安全产品读取事件，开发检测，并在事件展开时采取行动。
这使其成为第一响应者，承担分析师以及托管检测和事件响应服务如今出售的工作。以机器速度入侵的攻击者以机器速度移动，因此响应也必须如此。
如何接入。该产品运行在组织已经付费的事件流上，包括端点、身份、电子邮件、网络和云，并在源头读取，而不是等它们进入 SIEM 之后。模型关注行为而非签名，包括不符合主机历史的进程链、登录模式和数据移动，并提出可解释的检测。确认的检测以规则形式发布，当规则不再触发时模型也会将其退役。
响应通过同一批产品自身的控制机制执行：隔离端点、终止会话、封禁发送方、对主机做快照以供取证，任何会导致生产系统宕机的操作都需人工批准。
买家应衡量从首个恶意事件到完成遏制的时间、无需人工介入即完成遏制或处置告警的事件占比，以及每月的误隔离次数。
3. 评判每一个请求，而不是每一次登录。身份、端点安全和网络访问合并为同一个决策。旧模型假定用户和机器是同一回事：登录一次，会话即被信任。智能体打破了这一点。
开发者的笔记本电脑上现在同时承载着一个人、一个拥有自己密钥的编码智能体，以及一个拥有自己会话的浏览器智能体，三者会在同一分钟从同一台机器发出请求。信任必须按请求逐一评判，依据是请求由谁或由什么产生，而且这一判断必须在端点上完成，因为等流量到达网络层时，这种区分已经消失了。
访问权限变为即时授予：根据上下文为单个任务授予，任务结束时收回，正常工作时则无感知。这一切都不必造成干扰。如今的摩擦来自需要有人审核的常驻权限，把这些权限去掉，大多数决策就会在后台完成。
如何接入。端点上的智能体将每个出站请求归属到某个进程和某个主体（人还是软件），并对其进行签名。代理为单个任务和单个资源签发凭证，有效期以分钟计，网络层则拒绝任何未签名或超出范围的请求。涉及资金转移、数据删除或权限授予的操作需人工批准，智能体所做的一切都会记录到启动它的那个人名下。
买家应衡量拥有生产访问权限的常驻凭证数量、可归属到具体主体的活动，以及会话被标记后撤销所需的时间。
4. 证明可恢复性。备份、灾难恢复和网络保险合并为一个产品。备份存储属于成熟厂商的地盘，但证明不是。缺失的一环是备份态势管理——持续、独立地验证备份确实存在、能抵御篡改、位于攻击者最先攻陷的身份系统之外，并且确实能够恢复，同时提供审计师或保险公司愿意接受的证据。
当预防失效时，这决定了中断持续数天还是数月。
如何接入。备份副本存放在攻击者最先接管的身份系统之外：使用无共享管理员的独立账户、强制保留期的一次写入存储，以及需要两人才能执行的删除操作。产品按计划将真实系统恢复到隔离的洁净环境中，启动它们，校验数据，扫描植入物，并记录每一步的耗时。
这份记录就是产品本身：最近一次成功恢复、恢复每个关键系统所需的小时数以及数据恢复比例，并以董事会、审计师或保险公司愿意接受的形式呈现。
调查数据说明了这一点为何重要。在 Sophos 的研究中，备份得以幸存的受害者有 46%在一周内完全恢复，而备份遭到破坏的受害者中这一比例为 26%。备份完好的受害者支付赎金的可能性也大约只有一半。Veeam 报告称，在提高了韧性预算的组织中，完全恢复的比例为 40%，这些组织更有可能购买不可变存储和自动化备份，而其余组织仅为 16%。
恢复记录也是承保的输入依据。相关性损失——即一个共同的漏洞同时击中数千名受害者——难以建模和定价，而这正是保险公司如今排除在外的情形。能够对这种风险建模、并将承保要求与经过测试的控制措施关联起来的公司，将与产品本身一道塑造这一市场。
5. 在安装点设置一道控制。软件供应链、CI/CD 安全和开发者端点合为一体。10 月一些最大的损失并非始于缺失的补丁。Binance 目前将其被盗金额定为 63 亿美元，其初步调查描述了一名工程师的笔记本电脑被入侵。一个被篡改的软件包还通过某代码编辑器的扩展市场触达了多达 5,000 名开发者，试图安装后门。
软件包注册表和扩展市场、开发者机器以及智能体凭据，如今都是攻击面的另一部分。
这一模式正是电子邮件安全在二十年前定下的：在网关处扣留传入材料，在沙箱中打开，核查真正的发送者，然后在任何人看到之前将其放行或隔离。如今，输入来自包管理器、扩展市场、浏览器、供应商连接，以及越来越多地来自 AI 智能体自行获取的技能、工具、文档或网页。对智能体而言，文档也是一条指令。
该产品就是同样的三项检查——扣留、引爆、验证来源——在同一策略下应用于每一个渠道。
在 Verizon 的最新报告中，被利用的漏洞是最主要的单一初始访问途径，占 31%，但钓鱼、窃取的凭据和借口话术合计占 35%。48% 的入侵事件涉及第三方，高于两年前的 15%。Sonatype 统计，仅 2025 年就新增了超过 454,600 个恶意开源软件包。
如何接入。每条路径都需要在授予安装或访问权限的地方设置控制。开发者机器获得允许列表中的扩展和软件包，在进入生产环境前进行设备检查，并且笔记本电脑上不保留长期有效的生产凭据。
软件包注册表和内部镜像会短暂扣留新版本，在沙箱中运行安装以观察其行为，并检查签名来源。供应商访问权限有范围限定、会过期并接受审查。智能体技能和工具连接器会像软件包一样被扣留和测试（智能体随后能用它们做什么，是第 3 类别的任务）。
需要关注的数字包括：筛查所花的时间、在沙箱中测试的安装占比、首次使用前通过扣留检查的智能体技能和连接器占比，以及持有长期有效生产凭据的笔记本电脑数量。
6. 长尾平台。 暴露管理、安全远程访问、控制网络分段和手动回退将成为面向那些永远不会组建安全团队的组织的单一产品：水务公司、医院的生物医学部门或连锁超市的制冷承包商。
暴露清除只有作为产品才有效，前提是它能销售替代方案：一种无需暴露在开放互联网上就能保持远程访问的低成本方式，以及一条通过所有者已经听从的人——供应商、互联网提供商或保险公司——触达所有者的渠道。
同一项服务隔离控制网络，保持手动回退演练，并维护监管机构或保险公司可以核查的清单。托管平台已经为小企业提供了它们自己无法运行的服务。对于无法迁移到云端的机器，这也是同样的模式。
除了这些产品之外，迁移到内存安全代码也新近变得可行，因为 AI 可以完成大部分翻译工作。它最后才触及长尾，但它是减少需要发现的漏洞数量的唯一方法。
每一项都始于一个难题：针对实际部署版本的安全补丁、无需手动编写规则的检测、每个请求背后的主体，或经过验证而非假设的恢复。这就是起点。仪表盘和报告是容易的部分，在困难部分奏效后随之而来，而困难部分正是使合并类别具有防御性的原因。
赌注
最后一部分以一个赌注结束：2026 年看起来不像网络战争的开始，而像是一个漫长、昂贵的蠕虫时代的开始。上一个蠕虫时代在一家公司接管问题并修复它时结束。没有人拥有这个时代。
对于许多系统，利用与补丁之间的窗口将保持开放。工作是让这变得不那么重要：更少暴露的东西，更少依赖立即补丁的操作，以及真正能让系统恢复的备份。
本通讯仅供参考，不应作为法律、商业、投资或税务建议依赖。此外，本内容不是投资建议，也不 intended for use by any investors or prospective investors in any a16z funds。本通讯可能链接到其他网站或包含从第三方来源获得的其他信息——a16z 未独立验证，也不对此类信息的当前或持续准确性作出任何陈述。如果本内容包含第三方广告，a16z 未审查此类广告，也不认可其中包含的任何广告内容或相关公司。提到的、引用的或描述的任何投资或投资组合公司不代表 a16z 管理的工具中的所有投资；访问 https://a16z.com/investment-list/ 获取完整投资列表。其他重要信息可在 a16z.com/disclosures 找到。您收到此通讯是因为您之前选择加入；如果您想退出未来的通讯，您可以立即取消订阅。
来源：a16z：News · a16z.news
事件后续 · 1
来源：RadarAI · aihot.news