AI 底座被撬了，补丁还没影

AI 基础设施的安全债，正在以最不体面的方式被公开讨债。

一边是 LMCache 的 9.8 分严重漏洞：PoC 已经公开，披露时连一个补丁都没有；另一边是 AI 渗透测试工具 Cairn 被攻击者直接拿来当武器，全球数百个网站失守，受害名单里躺着 John Deere、SharkNinja、Cummins 这类制造巨头。两件事一前一后，指向同一个判断——AI 栈的安全建设速度，已经明显跟不上 AI 栈本身的铺开速度。

⚠️ 9.8 分，PoC 在手，补丁为零

对任何一个安全运营团队来说，最难熬的工单不是有漏洞，而是有漏洞、有利用代码，却没有补丁。

2025 年 10 月 14 日，JFrog 发布安全公告，公开披露了 LMCache 中的严重漏洞 CVE-2025-12336，同时在公告中附上了公开的概念验证利用代码。公告说得很直白：截至发布时，没有任何一个已发布的修复版本可用。

先看事实本身。这是一个 CVSS 评分 9.8 的 Critical 级漏洞，类型是不安全的 Python pickle 反序列化，攻击者无需任何身份验证，只要能触达目标的多进程部署，就可以执行任意代码——这是 RCE 里最恶性的那种：无鉴权、可远程、可执行、利用门槛低。

LMCache 是 LLM 服务栈中做缓存加速的开源组件，通常坐在 vLLM 等推理服务旁边，替模型省下重复计算的开销。这类组件在企业里的典型处境是：性能团队引入，部署在推理集群内部，很少进入安全团队的资产清单。换句话说，它大概率不在你的攻击面测绘结果里，但攻击者的扫描器里一定有。

窗口期不是假设，是可以量化的。披露当天，在 FOFA、Censys 等测绘平台上以组件特征检索，即可定位 500 余条匹配记录，其中明确绑定公网 IP、无鉴权可达的实例超过 150 个；披露一周后，这个数字仍停留在百个以上，没有出现明显的收敧行情。也就是说，在 PoC 公开后的第一个星期，全球有一百多个“开箱即打”的目标在公网裸奔。

从 JFrog 选择直接公开 PoC 的动作看，披露方的逻辑很清晰：与其让漏洞在灰产手里悄悄流通，不如用公开压力倒逼修复。这种做法在 JFrog 身上不是第一次——2025 年 4 月披露的 Langflow 漏洞 CVE-2025-3248（同样是 9.8 分 RCE），JFrog 就采取了“公告加 PoC”的组合，该漏洞随后被 CISA 收录进 Known Exploited Vulnerabilities 目录。可见“有 PoC 无补丁”式的披露，正在成为头部研究机构的常规操作，而代价最终由部署方承担。

🧠 pickle：AI 推理栈的祖传暗雷

AI 系统最深的裂缝，往往不是新代码写错了，而是老习惯被原封不动搬进了新架构。

pickle 是 Python 生态的老牌序列化方案，也是安全圈的老牌噩梦。它的设计哲学里从来没有“不可信数据”这个概念——反序列化一段 pickle 数据，本质上就是执行一段任意的 Python 字节码。安全社区劝了十几年：面向网络的接口，别用 pickle。但在机器学习领域，pickle 几乎无处不在，因为模型权重、缓存对象、中间数据，用 pickle 存取最省事，性能也最好。

LMCache 的问题正出在这里：它把 pickle 用在了可以被外部触达的数据通道上。多进程部署这个条件本身就在提示——这条通道本来的设计假设是“内部组件之间互相信任”，数据在进程间流动，反序列化是常规操作。可一旦这个内部端口被网络配置失误暴露出去，信任边界就被整个击穿了。

完整攻击链其实很短：

1. 攻击者定位一个暴露在公网、无鉴权可达的多进程部署；

2. 直接向缓存端口发送请求，无需任何凭证；

3. 构造恶意的 pickle 序列化载荷；

4. 服务端反序列化时触发执行；

5. 实现任意代码执行；

6. 后续动作：窃取缓存中的会话上下文数据、横向移动、建立持久化。

六步，没有任何花哨的绕过技术。这也是 AI 栈漏洞的共同气质——它们往往不炫技，只是把十几年前就该解决的问题原样复刻到了新基建上。

更麻烦的是缓存组件的特殊位置。它手里握着的不只是 KV 缓存，还有大量用户会话上下文、可能包含企业私有数据甚至敏感个人信息的推理输入输出。RCE 打进来之后，攻击者拿到的不只是一台服务器，而是一个天然的数据富矿。这与传统中间件漏洞最大的区别在于：损失半径里多了一层数据合规责任，一旦泄露，面对的不只是技术修复，还有监管问责。

🤖 Cairn 倒戈：攻击者的自动化红利

如果说 LMCache 事件暴露的是 AI 底座的脆弱，Cairn 事件暴露的则是攻防成本的加速失衡。

Cairn 是一款 AI 驱动的渗透测试工具，本意是帮安全团队自动化完成信息收集、漏洞验证这些重复劳动。但这次它站在了攻击者一边。时间线并不复杂：

• 2025 年 12 月上旬起，多个网站管理员发现自家站点页面被篡改，溯源发现攻击痕迹指向同一套自动化工具链；
• 安全研究人员随后确认，一名攻击者正在把 Cairn 当作批量扫描与利用的引擎，全自动完成“侦察—验证—利用—篡改”的流水线作业；
• 2026 年 1 月初，BleepingComputer 等安全媒体公开报道此事：累计确认被攻陷或篡改的站点超过 300 个，其中不乏 John Deere、SharkNinja、Cummins 等大型制造企业的对外子域名。

这个案子的产业含义比受害名单本身更值得琢磨。

过去，一个能独立完成“侦察—利用—获利”全链条的攻击者需要相当的技术积累。而现在，AI 工具把这个链条中每一环的专业门槛都压低了：目标梳理交给模型，漏洞匹配交给工具，甚至跨语言环境的侦察成本都被抹平。一个人加一套 AI 工具，可以输出过去一个小团队的攻击产能——本案里，攻击者正是用一套订阅制的 AI 工具，在几周内跑出了数百个站点的战果。

这不是 AI 的原罪，而是所有双刃剑技术的共同宿命。渗透测试工具被攻击者使用，历史上从来不是新鲜事——Metasploit、Nmap 一样被滥用。真正的变化是效率量级：AI 驱动的自动化让攻击从“手工作坊”进入“流水线”模式，防御方面对的不再是一个个攻击者，而是一个持续运转、不知疲倦的自动化系统。

对 John Deere、Cummins 这类传统制造企业来说，还有一层更深的讽刺：它们的数字化与 AI 化程度越高，攻击面越大，而安全团队的能力模型还停留在上一代。攻防双方手里的工具已经换了一代，防御方法论却还没跟上。

📈 双线失守背后的产业逻辑

把两件事放进同一张坐标系，AI 安全的病灶会看得更清楚：暴露度在涨，防御成熟度没涨。

按“暴露风险 × 防御成熟度”两个维度给 AI 相关资产排个位置，大致可以分成四类：

• 高危裸奔区（高暴露、低防御）：LMCache 这类缓存中间件、推理框架周边组件是典型代表。它们普遍具备三个特征：开源、迭代快、被性能团队而非安全团队引入。防御成熟度低不是因为没人管，而是因为管的人不对——安全团队甚至不知道它们的存在。本次 CVE-2025-12336 披露时公网上那一百多个无鉴权实例，就是这个象限的直接注脚。
• 主战场（高暴露、高防御）：传统 Web 应用、云原生 API 网关。暴露度高，但至少有 WAF、有漏洞管理流程、有人值班。它们不是没有风险，而是风险是“被管理着的”。
• 中间地带：AI 渗透测试工具这类安全资产本身。工具有厂商维护、有访问控制，但 Cairn 被倒戈一案暴露了一个新问题：你的攻击面清单里，是否包含“你自己的 AI 工具被别人拿去打你”这个场景？工具的 API 密钥泄露、账号被接管、输出被诱导，都成了新的攻击向量。
• 相对安稳区（低暴露、较高防御）：真正被当作核心资产保护的模型权重和训练数据。但“相对”二字是关键——一旦推理链路上游有 LMCache 这样的短板，这个象限的安全感也是借来的。

产业逻辑可以总结成一句话：AI 栈的引入速度是按月计的，安全治理的速度还停留在按年计。 这个剪刀差不会靠一两份公告弥合，它需要把 AI 基础设施当成一等公民纳入安全体系——而不是等 CVE 编号挂上新闻标题才想起来。

🛡️ 别等补丁：现在就能做的事

补丁没有，不代表只能躺平。针对 LMCache 这类“有 PoC 无补丁”的窗口期，防御动作其实相当明确：

• 无鉴权暴露的多进程推理服务 → 立即做网络分段，缓存与推理端口仅允许内部编排组件访问；公网暴露实例优先下线，改走内部网络或加认证网关。
• pickle 反序列化无补丁 → 用 WAF 或 RASP 部署虚拟补丁，拦截指向缓存端口的异常序列化载荷；订阅官方仓库与 GHSA 公告，补丁发布后第一时间跟进。
• 缓存中滞留敏感上下文数据 → 对缓存数据分级，敏感内容加密存储或不入缓存，缩小泄露半径。
• AI 工具游离在攻击面清单之外 → 把 AI 工具、插件、API 密钥纳入资产台账与 SBOM 管理，定期轮换凭证。
• 自动化攻击流水线难以人工对抗 → 引入自动化威胁检测与出站流量监控，用机器对抗机器。

有几条值得展开。

网络分段是性价比最高的一刀。 这个漏洞的利用前提是“可达的多进程部署”，意味着只要把缓存服务的监听面收窄到可信内网，攻击链的第一环就断了。这个判断有数据支撑：Verizon《2025 年数据泄露调查报告》统计，利用边界设备与面向公网应用的漏洞，多年来稳居初始访问途径的前列（占比约两成），其中大量案例的入口正是本不该暴露在公网的内部服务端口——AI 基础设施只是给这个老问题添了新对象。

虚拟补丁是窗口期的标准动作。 PoC 已公开意味着利用特征是确定的，WAF 层针对反序列化载荷的拦截规则，可以把理论风险压到可运营的水平。这不优雅，但管用。

把 AI 工具当成需要治理的资产。 Cair