文章指出，AI编程代理将彻底改变漏洞研究和利用开发的方式，未来大部分高危漏洞可能仅需向AI输入"寻找零日漏洞"指令即可完成。作者认为这一趋势已不可逆转，并将深刻影响信息安全乃至整个互联网生态。

标题：漏洞研究即将被AI颠覆

过去两年间，技术专家们不断预警AI编程助手将引发安全漏洞的泛滥。他们预测对了！只是原因与想象不同。

未来数月内，AI编程助手将彻底改变漏洞开发的实践模式与经济生态。前沿模型的进步将呈现阶梯式跃升，而非缓慢演进。只需对代码库输入"寻找零日漏洞"的指令，大量高价值漏洞研究（甚至可能是大部分）就能自动完成。

这一趋势已成定局。我们已看到首个明确迹象，这将对信息安全乃至整个互联网产生深远影响。

漏洞研究演进史

1990年代，我们曾为研究首个栈溢出漏洞而彻夜奋战。在8lgm 8.6.12漏洞披露后，我们围着终端调试GDB，互相讲解函数序言，传阅《PANIC! UNIX系统崩溃转储分析》。这种充满探索乐趣的工作，就像计算机安全版的MIT 6.004课程。

十年后，研究氛围骤变。顶尖漏洞开发者开始钻研字体渲染机制、字体库内存布局等冷门领域。这些知识虽枯燥，却是构建可靠漏洞利用的关键，就像医学生为入学必须掌握却终生用不上的有机化学。

这揭示两个关键： 1. 漏洞往往隐藏在程序处理用户输入的冷门模块 2. 现有防护体系依赖精英研究者的注意力稀缺性

精英注意力的新价格：趋近于零

大语言模型天生适合漏洞研究。未经训练就具备跨代码库的关联能力，能识别Linux KVM与hrtimer等子系统的关联。模型权重中更内置了完整漏洞模式库：悬垂指针、整数溢出、类型混淆等。

Anthropic前沿红队的Nicholas Carlini展示了惊人成果：通过简单bash脚本，让Claude Opus 4.6在代码库中自动发现并验证了500个高危漏洞，成功率近100%。其方法看似简单——让AI循环检查每个源文件并验证漏洞，却实现了深度覆盖。

典型案例：Ghost内容管理系统被自动发现SQL注入漏洞。更惊人的是，AI能串联Rails框架中三个看似无关的设计特性（YAML解析、对象实例化、初始化链），推导出远程代码执行漏洞。

冲击即将来临

2025年，漏洞挖掘还依赖人工服用兴奋剂连续工作四天研究CSS样式表内存生命周期。如今，AI可以不知疲倦地持续工作。

受影响的不只是Chrome/iOS等能快速更新的系统，更包括： - 操作系统内核 - 数据库系统 - 网络设备 - 物联网设备（如联网洗碗机）

这些设备广泛存在于银行、医院等关键机构，却难以快速更新。以往因开发成本高而被忽视的漏洞，现在将被AI批量挖掘。

监管困境

在AI监管热潮中，计算机安全研究可能面临误伤。几十年来行业共识是：漏洞研究属于计算机科学，披露漏洞能增进世界认知。但政策制定者未必认同。

最坏情况是：在医疗机构因勒索软件瘫痪的新闻背景下，仓促出台限制AI安全研究的法规。这些法规可能： 1. 无视中俄等国的开源模型发展 2. 对防御方造成不对称限制

人类研究的未来

业内观点分歧： 1. 乐观派认为：沙盒、内存防护等纵深防御仍能增加利用难度 2. 悲观派观察到：已验证漏洞报告已开始激增 3. 务实派指出：AI目前仅能复现已知技术，最高端研究仍需人类

但不可否认，大多数漏洞利用依赖的是： - 毅力而非天赋 - 文献熟悉度而非独创性 - 平凡的发现而非突破性成果

随着前沿实验室将漏洞发现纳入模型卡，AI取代大部分人工研究已成定局。我们正处在传统漏洞研究最后的黄昏时刻。

（注：文中所有超链接保留原英文地址，符合中文阅读习惯的表述已对技术术语进行必要解释）

以下是评论内容的总结，平衡呈现不同观点并保留关键引用：

对AI漏洞挖掘能力的质疑

• 怀疑预测准确性：有评论者以curl项目经验为例，对AI预测漏洞的能力表示怀疑（评论1："I'm suspicious of this prediction given the curl project's experiences..."）
• 误报问题持续：即使AI能发现真实漏洞，开源维护者仍需处理大量低质量报告（评论2："The slop reports won't stop just because real ones are coming in..."）

乐观观点：AI提升安全性

• 主动修复漏洞：认为开发者可通过AI提前修补漏洞，使软件更安全（评论3："why would I not run them and just patch all the vulnerabilities..."）
• 效率提升：AI显著提升漏洞检测效率，接近理想化的静态分析愿景（评论4："LLMs get us meaningfully closer to what I thought this work already was..."）

对AI技术局限性的批评

• 过度炒作：部分评论认为当前AI能力被夸大，属于技术泡沫（评论5："Another boring AI hype article"；评论18："A lot of speculation... very little actual data"）
• 依赖模式匹配：指出现有模型主要依赖历史漏洞模式匹配，而非真正代码分析（评论18："their current models mostly 'pattern-matched' their ways towards the exploits..."）

防御与攻击的平衡

• 防御优势：若攻击/防御方使用相同模型，修复中间漏洞可阻断攻击链（评论15："Automated checks... could very well find the moderate difficulty vuln in the middle"）
• 复杂环境挑战：即使AI能发现漏洞，在沙箱等多层防护下的实际利用仍极困难（评论7："Exploitation of Firecracker is... extremely difficult"）

编程语言安全争议

• 内存安全语言争议：讨论Zig（接近硬件）与Rust（内存安全）的长期安全性优劣（评论11："are we long term safer with 'simpler'... or... Rust still the winning direction?"）

实际应用案例

• CTF比赛验证：用户亲测AI能有效发现堆栈漏洞（评论10："even last year's models were really good at finding heap or stack vulns"）
• 开发辅助工具：AI帮助实现激进安全措施（评论7："LLMs have made adoption of Trusted Types... insanely easy for me"）

关键矛盾点：
- 短期影响：AI可能同时带来漏洞挖掘效率提升（白帽优势）和攻击自动化风险（黑帽工具）
- 长期趋势：多数认为最终会形成新平衡，但对其路径（技术突破/泡沫破裂）存在分歧