AI 会写 EXP 了，攻防账本重算

一条措辞克制的披露，分量不轻。Anthropic 宣称，一个尚未发布的 Claude 模型版本，在 Chrome、Safari、Android、Windows、Linux 五大平台上自主发现并串联了多个漏洞。这不是“AI 帮工程师补代码”的老故事，而是 AI 第一次以“全栈攻击者”的姿态出现在主流叙事里。攻防两边的成本账本，可能都要重算一遍。

🚨 未发布版本，先过“攻击力考试”

最好的武器评测，是在武器出厂之前。

想象一下模型发布前的内部评审会：安全团队要回答的问题不再是“它会不会写诗”，而是“它能不能拿下主流操作系统”。据 Anthropic 的说法，这次被推到台前的是一个未发布版本的 Claude——它在 Chrome、Safari 两大浏览器，以及 Android、Windows、Linux 三大操作系统上，找到并串联了多个漏洞。注意两个关键词：未发布、串联。

事实层面，公开信息有限，但结构清晰。其一，能力主体是模型本身，而不是外挂的工具链；其二，覆盖面横跨 Google、Apple、Microsoft 与开源社区四大技术阵营；其三，动作不止于“发现”，还包括构建利用（exploit）与链式组合。这三点拼在一起，指向的是端到端的攻击性安全能力。

产业逻辑也在这里。头部大模型厂商已经把“危险能力评估”内化为发布流程的标准动作——先在内部证明模型能做多么危险的事，再决定以什么安全边界对外发布。换句话说，“模型挖洞能力”正在变成类似“数学推理能力”的能力基准项。安全圈私下流传的一句话是：以后模型发布会，红队评估报告可能比跑分榜单更值得看。

还有一个细节值得咀嚼：为什么是“未发布版本”先出圈？因为发布闸门本身就是安全机制的一部分——能力被证明、边界被定义、发布节奏被控制，这三件事构成了 AI 时代新的“负责任披露”模板。Anthropic 这次的披露，等于把这套流程做了一次公开展示。

⚙️ 从补全代码到挖逻辑洞，跃迁在哪

自动化工具二十年没啃动的逻辑漏洞，成了大模型的切入口。

过去二十年，自动化漏洞发现的主流是 fuzzer 和静态扫描——喂进去海量畸形输入，等程序崩溃，或者按规则模式匹配可疑代码片段。这类工具对内存破坏类漏洞有效，但对需要“理解业务逻辑”的漏洞几乎无解。而人类渗透测试工程师的看家本领，恰恰是把两个看似不相干的低危问题，串成一条完整的攻击链。现在，这一步被模型接手了。

把 AI 参与漏洞研究的过程拆开看，链条大致是这样：

判断依据来自披露本身的措辞：模型是“发现并串联”了漏洞，而且横跨浏览器与操作系统两种异构环境。这意味着模型不仅能找单点问题，还能理解组件之间的信任边界与交互面——这正是传统自动化工具最薄弱的一环。单点漏洞可以靠运气，链条靠的是对系统的整体理解。

产业逻辑上，漏洞研究的能力曲线出现了一个陡坡。以前的 AI 工具卡在“辅助环节”——生成 PoC 模板、解释补丁 diff、构造 fuzzing 语料；这次的叙事是“端到端”。对安全产业而言，门槛塌缩意味着两件事：其一，过去靠信息不对称生存的低端渗透服务会被压缩，纯粹拼工时的安全外包首当其冲；其二，漏洞从发现到武器化的周期理论上被大幅缩短，防御方的补丁窗口随之收窄。攻防双方的时间预算，都要按新的速度重新分配。

🧭 坐标系重画：谁被挤下了牌桌

大模型厂商没有“进入”安全市场，它们直接改了市场的度量衡。

把玩家摆上四象限，局面一目了然：

传统扫描器技术门槛和商业价值都不高，是典型存量玩家；众测平台靠全球研究员的人力网络维持价值，但“人力”恰恰是被 AI 替代最狠的对象；最尴尬的是左上区域的 AI 辅助审计创业公司——它们辛苦建立的场景封装，护城河可能在通用模型的一次版本升级中就被填平。

据多位接近安全厂商的人士观察，头部公司内部已经在讨论同一个问题：当客户采购时开始问“你的产品底层接的是什么模型”，自研小模型的故事还讲不讲得下去？

产业逻辑上，Anthropic 这类厂商的能力披露，本质上是在向安全市场发信号——攻击性安全能力的制高点在模型层。安全厂商因此面临一道单选题：要么深度绑定大模型能力做垂直场景，要么在私有数据（漏洞库、攻防轨迹、客户资产画像）上建立模型短期替代不了的壁垒。最危险的是中间态：既没有模型，又没有独家数据，只剩集成工作量。安全行业的并购与站队，接下来一年会明显加速。

🛡️ 防御端怎么接招

攻击成本每降一个数量级，防御就得换一套架构。

先看清这次的攻击面有多大。五类目标几乎覆盖了数字生活的全部入口：

浏览器管入口，操作系统管地盘，服务器端的 Linux 管后院。一条利用链打穿三个层次，说明这不是单一产品加固的问题，而是整条信任链的问题。

防御端的重排，可以归结为三组“痛点对解法”：

有意思的是，这次披露本身就是一种防御动作。Anthropic 选择在模型未发布时就公开能力边界，相当于给整个防御生态打了一次“预防针”——补丁流程、应急响应、威胁建模，从此都有了明确的升级理由。⚠️ 真正需要警惕的是另一面：这类能力一旦以开源或泄漏的形式扩散，防御方的准备时间就不再是“发布前”，而是归零。能力披露与武器扩散之间的那道闸门，目前主要靠少数几家模型公司的自律在守——这本身就是一个需要制度化的薄弱点。

对企业安全团队，务实的动作其实不复杂：把“AI 会挖洞”从假设变成威胁模型的默认输入，重估自家补丁 SLA 和暴露面管理节奏，并且开始试用 AI 驱动的验证类工具。不必恐慌，但也不能把头埋进沙子。

📌 小结

一句判断收尾：AI 没有发明新的漏洞，它改变的是发现漏洞的成本。当“挖洞、写 EXP、串联利用”被压缩进一次模型推理，攻防天平短期内向攻击侧倾斜，长期则取决于防御方把 AI 装进自家产品的速度。未来一年值得盯三条线：模型厂商的危险能力评估标准如何走向行业共识、安全厂商的 AI 原生产品节奏，以及漏洞披露政策如何适应“机器研究员”时代。别焦虑贩卖者的恐慌叙事，但也别假装什么都没发生。