AI在發(fā)現(xiàn)漏洞方面已經(jīng)相當(dāng)出色，但在解決漏洞方面仍有不足。Anthropic公司上周宣傳了Claude Code在發(fā)現(xiàn)軟件漏洞和提出補(bǔ)丁方面的改進(jìn)能力，但安全研究人員認(rèn)為這還遠(yuǎn)遠(yuǎn)不夠。

這家AI公司將其研究預(yù)覽功能稱為Claude Code Security，描述為幫助安全團(tuán)隊(duì)發(fā)現(xiàn)和修復(fù)可能被忽視的缺陷的工具。

"這是網(wǎng)絡(luò)安全的關(guān)鍵時(shí)刻，"該公司表示。"考慮到模型在發(fā)現(xiàn)長(zhǎng)期隱藏的錯(cuò)誤和安全問題方面變得如此有效，我們預(yù)計(jì)在不久的將來，世界上相當(dāng)大一部分代碼將被AI掃描。"

為了突出Claude Code Security的漏洞搜尋潛力，該公司指出其紅隊(duì)使用Claude Opus 4.6在生產(chǎn)環(huán)境的開源代碼庫中發(fā)現(xiàn)了"超過500個(gè)漏洞"。

曾在微軟和Palo Alto Networks擔(dān)任安全研究員的隱形創(chuàng)業(yè)公司創(chuàng)始人Guy Azari告訴記者："在他們報(bào)告的500個(gè)漏洞中，只有2到3個(gè)漏洞被修復(fù)了。如果他們沒有修復(fù)這些漏洞，那意味著你什么也沒做對(duì)。"

Azari指出，缺乏通用漏洞披露(CVE)分配證明了安全流程仍不完整。他說，發(fā)現(xiàn)漏洞從來不是問題，并指出了他在微軟安全響應(yīng)中心運(yùn)行漏洞管理時(shí)的經(jīng)歷。

"我們過去整天都在接收?qǐng)?bào)告，"他說。"當(dāng)AI被引入后，報(bào)告數(shù)量增加了100到200倍，并帶來了很多噪音，因?yàn)锳I假設(shè)這些都是漏洞，但沒有一個(gè)單位能夠真正顯示實(shí)際價(jià)值或?qū)嶋H影響。如果沒有這些，你可能不會(huì)去修復(fù)它。"

據(jù)Azari稱，2025年，國(guó)家漏洞數(shù)據(jù)庫積壓了大約30,000個(gè)等待分析的CVE條目，近三分之二的報(bào)告開源漏洞缺乏NVD嚴(yán)重性評(píng)分。他說，開源維護(hù)者已經(jīng)不堪重負(fù)，并指出curl項(xiàng)目關(guān)閉了其漏洞賞金計(jì)劃，以阻止來自AI和人員的劣質(zhì)報(bào)告。

"curl的維護(hù)者大約兩個(gè)月前關(guān)閉了他們的計(jì)劃，因?yàn)樗麄兪盏搅颂嗾`報(bào)，無法處理這種負(fù)荷，"他解釋道。"所以Claude可能沒有通過給他們帶來更多問題來幫助他們。但這些問題沒有經(jīng)過驗(yàn)證，不夠具體。這不是修復(fù)。這更像是放大崩潰。"

Anthropic拒絕正式置評(píng)，但該公司的紅隊(duì)帖子表明，其研究人員正在與開源維護(hù)者合作解決已識(shí)別的漏洞。因此，關(guān)于發(fā)現(xiàn)內(nèi)容的進(jìn)一步細(xì)節(jié)可能會(huì)及時(shí)浮出水面。

安全公司Socket的CEO Feross Aboukhadijeh在郵件中告訴記者，CVE只是協(xié)調(diào)披露的一部分，所以不應(yīng)該立即期待CVE發(fā)布。

"我們毫不懷疑Anthropic的團(tuán)隊(duì)發(fā)現(xiàn)了500多個(gè)可信的漏洞候選項(xiàng)，"Aboukhadijeh說。"這與我們?cè)谡麄€(gè)行業(yè)看到的情況一致，因?yàn)槟Ｐ驮跈z測(cè)易受攻擊代碼方面變得越來越好。隨著大型模型在探索代碼庫和跨組件推理方面變得越來越好，發(fā)現(xiàn)變得大幅便宜。"

"更困難的部分不再是發(fā)現(xiàn)問題。而是之后發(fā)生的一切。"

"將漏洞候選項(xiàng)轉(zhuǎn)化為經(jīng)過驗(yàn)證的、可重現(xiàn)的發(fā)現(xiàn)，讓維護(hù)者和客戶能夠?qū)嶋H采取行動(dòng)需要時(shí)間：確認(rèn)受影響的版本、評(píng)估現(xiàn)實(shí)世界的影響、與維護(hù)者協(xié)調(diào)，以及開發(fā)與項(xiàng)目架構(gòu)一致的補(bǔ)丁。"

Aboukhadijeh預(yù)計(jì)，強(qiáng)大的、安全優(yōu)化的AI工具的普及將為安全團(tuán)隊(duì)帶來越來越多的補(bǔ)丁、升級(jí)和緊急修復(fù)，需要應(yīng)用到代碼庫中。他預(yù)計(jì)，安全性將受到維護(hù)者優(yōu)先排序、測(cè)試和重構(gòu)能力的約束。

Socket試圖解決這個(gè)問題的方法之一是通過認(rèn)證補(bǔ)丁，它包括對(duì)現(xiàn)有依賴項(xiàng)的直接更改，作為將依賴項(xiàng)更新到修補(bǔ)版本的替代方案，后者可能因庫版本兼容性沖突而引入問題。

"我們正在接近披露將很快超過修復(fù)能力的時(shí)刻，"他說。"競(jìng)爭(zhēng)優(yōu)勢(shì)不會(huì)屬于能夠產(chǎn)生最多發(fā)現(xiàn)的人。它將屬于能夠?qū)l(fā)現(xiàn)轉(zhuǎn)化為安全、優(yōu)先級(jí)化、低干擾變更的人。"

Q&A

Q1：Claude Code Security是什么功能？

A：Claude Code Security是Anthropic公司推出的研究預(yù)覽功能，旨在幫助安全團(tuán)隊(duì)發(fā)現(xiàn)和修復(fù)可能被忽視的軟件漏洞。該功能使用Claude Code的改進(jìn)能力來識(shí)別軟件中的安全缺陷并提出修補(bǔ)建議。

Q2：為什么發(fā)現(xiàn)500個(gè)漏洞但只修復(fù)了2-3個(gè)？

A：安全研究人員指出，發(fā)現(xiàn)漏洞只是第一步，真正的挑戰(zhàn)在于后續(xù)工作。將漏洞候選項(xiàng)轉(zhuǎn)化為經(jīng)過驗(yàn)證、可重現(xiàn)的發(fā)現(xiàn)需要時(shí)間，包括確認(rèn)受影響版本、評(píng)估實(shí)際影響、與維護(hù)者協(xié)調(diào)以及開發(fā)合適的補(bǔ)丁。開源維護(hù)者已經(jīng)不堪重負(fù)，無法處理大量AI生成的漏洞報(bào)告。

Q3：AI在網(wǎng)絡(luò)安全領(lǐng)域面臨什么挑戰(zhàn)？

A：主要挑戰(zhàn)是AI雖然能大量發(fā)現(xiàn)漏洞，但修復(fù)能力不足。AI生成的漏洞報(bào)告增加了100-200倍，但很多是誤報(bào)或缺乏實(shí)際價(jià)值評(píng)估。國(guó)家漏洞數(shù)據(jù)庫積壓了約30,000個(gè)待分析條目，而開源項(xiàng)目維護(hù)者因無法處理大量報(bào)告而關(guān)閉漏洞賞金計(jì)劃。