a16z:AI 把漏洞利用成本降到数小时,395 家机构 26 秒内被攻破
a16z Newsletter · rss · 2026-11-05
a16z 长文分析 AI 如何重塑网络攻防:漏洞利用不再是瓶颈,补丁速度却没跟上。
关键案例
- 8 月底,一名操作者用数百个 AI 智能体攻击打印机管理服务器:智能体自建测试环境、为披露仅 4 天的 2 个漏洞写 exp、从扫描服务拉目标清单,从空工作区到首次真实入侵不到 4 小时; campaign 上线后 11 家机构在 26 秒内沦陷,最终 48 国 395 家机构被攻破,一半是学校——用的还是廉价的开放权重模型。
- PHP 两个严重漏洞提前泄露:攻击在披露前 4 天就打到 Amazon 蜜罐,修复前 12 小时已有尝试,3 天内出现可用 shell。Amazon CSO 称「7 天/30 天补丁 SLA 假设的延迟已不存在」。
数据脉络:Mandiant 数据显示披露到攻击的平均时间从 2018-19 的 63 天降到 2023 年的 5 天,2024 年起攻击平均早于披露一天、2025 年提前七天。RAND 研究显示专业黑客写一个可用的 zero-day exp 中位需 22 天,而历史上仅约 6% 的漏洞被实际利用——主因是攻击者时间不够,AI 正在消除这个瓶颈。
结论:a16z 判断不会出现「互联网末日」,但会重演 2003 蠕虫时代与 2017 WannaCry 式的爆发,最受伤的是无法快速更新的系统(能源、水务、医疗的工控设备)和「太小而无人专门盯」的组织——当攻击近乎免费,攻击者不再需要「想要」某个目标。文中还列举 DIVD 被智能体秒级提权入侵、Google 报告首例 AI 开发的刑事 zero-day、NSA/CISA 警告 AI 脚本瞄准 Siemens 工控设备等 2026 年案例。
「漫话AGI」频道最新
- 贝索斯谈 Pause AI:暂停开发等于文化自然选择中被淘汰 — beffjezos · 2026-11-06
- 分析师 Ben Bajarin:没见过一个真正懂企业 AI 采用周期的空头 — BenBajarin · 2026-11-06
- 初请失业金降至 18.9 万，经济学家称未见整体就业受 AI 冲击 — soumitrashukla9 · 2026-11-06
- 双重真相：中国实验室既真创新也重度依赖西方模型蒸馏 — nitarshan · 2026-11-06
- Druckenmiller 称 AI 基建似 1873 铁路狂潮，Bajarin 推荐两篇经典研究 — BenBajarin · 2026-11-06
- Symbiotic Firms：为人类协作设计的公司为何装不下 AI 智能体 — johnjnay · 2026-11-06