AI安全‘黑色十月’…「任何人都能攻擊的對黑客時代來臨」

AI自動化漏洞檢測與攻擊…「沒有時間應對」

全球2200萬個暴露…金融與政府服務部分中斷

網絡安全的悖論…AI也能阻止攻擊

[區塊媒體 李晶華記者]「任何人都可以利用人工智慧(AI)突破系統的時代來臨了。」

AI不僅加快了黑客的攻擊速度，還能發現現有軟體的安全漏洞，所謂的「對黑客時代」已經來臨。全球互聯網安全體系正面臨新的危機。

AI是一把雙刃劍。它既可用於網絡攻擊，也可用於防禦。從發現漏洞到發動攻擊所需的時間急劇縮短，這使得「沒有時間應對」成為一個問題。安全業界將此評估為現有應對體系難以承受的結構性變化。

《華爾街日報》(WSJ)和彭博社報導，23日(當地時間)AI基礎的黑客工具的擴散與大規模軟體漏洞的發現交織在一起，全球網絡安全危機已進入新的階段。

一些專家開始稱10月為「黑色十月(Black October)」，因為接連發生的攻擊和服務中斷事件。

AI自動化漏洞發現與攻擊

此次危機的核心是廣泛使用的開源程式語言PHP的兩個致命安全漏洞。這些漏洞在十多年內未被發現，但Wiz、OpenAI及安全公司Calif的研究團隊利用AI找到了它們。隨後，漏洞信息在正式公開之前就被泄露給攻擊者，情況急劇變化。

亞馬遜表示，在漏洞公開之前，已確認黑客試圖利用這些漏洞。加拿大、比利時、法國和荷蘭等地的政府網站出於預防目的暫時中斷服務。銀行和航空公司也為了減少安全風險而中斷了部分服務。

Cloudflare首席執行官馬修·普林斯表示，在其網絡上，利用該漏洞的攻擊嘗試每分鐘達數百萬次。

問題在於漏洞發現速度與安全措施速度之間的差距。根據彭博社的報導，互聯網上暴露的脆弱系統達2200萬個。Palo Alto Networks Unit 42數字取證與事故響應負責人傑克·休斯表示，其中超過三分之一的系統使用的是難以立即修補的軟體。

更換或升級這些系統可能需要數個月的時間。Nomad安全戰略副總裁克里斯·休斯指出，「AI已經將漏洞發現工業化，但修復工作仍然是人類的瓶頸。」

AI發現新漏洞的速度超過企業的安全措施速度，這意味著暴露在風險中的系統將持續增加。

黑客的攻擊方式也在改變。根據WSJ的報導，中國的開源黑客工具Artex利用AI自動化網絡入侵過程。微軟表示，來自多個地區的攻擊者正在利用這一工具加快對數百家企業的攻擊速度。

本月初，利用Artex進行的網絡攻擊導致韓國金融機構約68000名數據被泄露的事件也被報導。

俄語區的勒索病毒組織Aurora也在擴大AI的應用範圍。最初，它們使用AI來構建攻擊工具和基礎設施，但後來也用於探索入侵的企業網絡並訪問其他帳戶。據報導，該組織已將應用模型從Anthropic的商業模型轉變為文獻AI的開源Kimi模型。

Sophos威脅情報負責人科林·卡維表示，他們的攻擊速度比一般人快。

這種變化降低了網絡攻擊的進入門檻。擁有高端技術的黑客不再是唯一的攻擊者，相對技術水平較低的攻擊者也能利用AI執行複雜的任務。

網絡安全的悖論…AI也能阻止攻擊

AI雖然加劇了安全威脅，但同時也促進了防禦技術的發展。彭博社指出，利用AI發現漏洞不一定會導致實際黑客攻擊的增加。

谷歌在7月發現的Chrome瀏覽器中的433個漏洞中，自行發現了401個，這是一個典型的例子。在美國政府實際被利用的漏洞列表中，攻擊所使用的漏洞明顯增加的證據尚未確認。此次PHP漏洞雖然觀察到大量攻擊嘗試，但尚未有公開證據顯示利用該漏洞成功發生大規模侵害。

安全專家強調，必須區分AI發現漏洞的能力與實際攻擊成功的可能性。即使AI能更快地找到安全漏洞，將其轉化為實際入侵仍需要額外的技術和條件。

然而，在防禦方面，漏洞公開後能夠應對的時間大幅縮短，這是一個問題。Anthropic首席信息安全官代理傑森·克林頓警告，當前的網絡安全混亂可能會在一段時間內加劇。

他建議安全負責人向管理層請求支持，以加強基本的安全體系，而不是僅僅引入AI。從長遠來看，AI可能會達到在軟體開發過程中提前消除安全缺陷的階段。克林頓將這一未來描述為安全漏洞幾乎消失的「漏洞零(vulnzero)」。

不過，在那之前，AI發現的漏洞將經歷爆炸性增長的「漏洞海嘯」。

此次事件顯示了網絡安全競爭格局的變化。過去，誰能首先發現安全漏洞是重要的。現在，誰能更快修復AI發現的漏洞或利用其進行攻擊，已成為核心競爭要素。

對企業而言，除了引入基於AI的安全工具，還需要更換舊系統、管理訪問權限、自動化安全補丁、加強事故響應體系等重要任務。