SN 1087: HalluSquatting, GhostApproval & GitLost - Patch Tuesday Breaks Records

自Anthropic發布Mythos以來，AI對網絡安全的衝擊已從技術議題升格為各國政府的緊急戰略考量。過去兩個月，歐洲央行、英國情報機構、中國政府相繼宣布重大舉措，共同指向一個現實：AI已不可控地改變了攻防平衡，各國必須從國家層級重新設計防禦架構。

歐洲率先做出公開反應。歐洲央行主席拉加德上月警告AI可能引發金融危機，隨後ECB執行副總裁克勞德．布奇致函歐元區最大銀行的首席執行官，要求他們在10月底前提交AI風險應對計畫，包括加快軟體補丁部署、強化AI防禦能力、審查外部技術合作夥伴。歐盟委員會隨之公布更廣泛的「網絡安全與人工智慧行動計畫」，宣示三大目標：建立評估AI模型的容量、與ENISA共同開發安全訪問先進AI的藍圖、啟動歐盟AI網絡安全大挑戰以發展本土AI解決方案。這些文件背後的焦慮很明確——美國公司主導著全球最先進的AI，歐洲正面臨戰略依賴風險。

英國的回應最具雄心。GCHQ主任在5月27日Bletchley Park的年度講座上宣布，英國正開發「Cyber Shield」計畫，旨在將自主AI代理硬編碼到國家級防禦中。NCSC隨後發表長篇白皮書，詳細闡述其願景：在聯邦信任架構下，紅隊代理自動發現網絡漏洞，藍隊代理實時檢測並遏制攻擊行為。這些代理將跨組織邊界協作，執行國家層級掃描和自動化緩解操作。儘管NCSC坦言這面臨重大技術挑戰——包括可靠的AI解釋性、自動化修復的安全驗證等——但該倡議仍代表著一種歷史性的轉變：將整個國家的網絡安全自動化，正如1970年科幻電影《Colossus》所描繪的情景逐漸變成可能。

中國採取了保護主義路線。路透社報導，北京與阿里巴巴、字節跳動等本土科技巨頭舉行了多輪會議，討論限制最先進AI模型的海外訪問，並將AI技術洩露納入國家安全法的刑事責任範圍。會議還涉及對外資進入國內AI初創公司融資的新限制。這一系列措施反映了中國對Mythos潛力的認知——該模型能以前所未有的速度發現軟體漏洞，對國家安全構成直接威脅。

微軟則以最具體的數據示人。本月Patch Tuesday發布了570個漏洞修補，創下歷史紀錄，其中59個關鍵級別、3個零日漏洞。這遠超前月的記錄，而前月本身就打破了此前的所有紀錄。微軟的博客明確表示，未來將維持每月數百個漏洞的高速發現率。這背後是該公司部署的Mdash框架——一個多模態掃描系統，結合多個AI模型進行漏洞發現、驗證和去重。微軟並未隱瞞這背後的人工智慧驅動：該公司正在根本性改造其軟體開發生命週期，使AI檢測成為編碼過程的即時環節，而非事後修復。漏洞已不再是可接受的軟體成熟度指標，而是必須在發佈前根除的缺陷。CISA已開始使用Mythos審計美國政府代碼庫，這標誌著美國政府官方認可了AI漏洞發現的必要性。

這些舉措的共同指向已不容否認：AI正在根本性改變網絡防禦的可能性。當漏洞發現從人工稀缺變成機器充裕時，軟體質量將進入新的數量級。預計在不超過一年的時間內，每月發現的漏洞數將開始下降，最終趨向於零——不是因為停止搜尋，而是因為可發現的漏洞已被根除。此時新的軟體將以預先消毒的狀態出廠，整個網絡安全威脅模型將被徹底重塑。