AI辅助漏洞挖掘会改变安全行业吗?

最近谷歌推送 Chrome 156 更新，一口气修了 353 个安全漏洞，其中高危和严重级别加起来有 67 个。这个数字放在过去是难以想象的，但更值得玩味的是公告里的一句话：Anthropic 的研究员借助 Claude 报告了其中 5 个漏洞，OpenAI 的 Codex Security 报了几个，单笔最高赏金一万美金。AI 辅助漏洞挖掘这事，看来已经从实验室里的概念验证，变成了实打实能出成果的活儿。

很多人第一反应是：AI 是不是要抢安全研究员的饭碗了？这事得拆开看。漏洞挖掘本质上是两件事，一是找到代码里不合理的逻辑或内存问题，二是搞清楚这些问题能不能被利用、影响范围有多大。AI 在第一步确实有天然优势，它不会累，能不知疲倦地翻代码、跑模糊测试、比对异常行为，而且它对模式识别的能力比人强得多。像这次 Chrome 修复的漏洞里，很多是 use-after-free 或内存破坏这类老面孔，AI 在识别这类已知模式上确实高效。

但第二步就没那么简单了。确认一个漏洞能不能被远程利用、能不能绕过沙箱、能造成什么实际危害，这需要上下文理解能力和攻击链思维，目前 AI 更多是充当“发现者”的角色，把可疑点标出来，真正做判断和验证的还是人类研究员。这次谷歌的漏洞奖励计划也印证了这一点，AI 工具的署名是“协助报告”，钱还是发给背后的研究员，说明行业默认的协作模式是人机配合，而不是 AI 单干。

对企业用户来说，更实际的关注点不是 AI 会不会取代谁，而是漏洞数量变多这件事本身。一次更新修 353 个漏洞，意味着攻击面在扩大，也意味着补丁落地的压力在增加。大家真正该做的，是确认自己用的浏览器是不是真的更新到位了，别只看版本号，还要确认重启过、策略没拦更新。至于 AI 会不会改变安全行业，答案是会，但它改变的是漏洞发现的速度和规模，而不是安全工作的本质——判断风险、评估影响、决定优先级，这些仍然需要人来做。工具变强了，用工具的人反而更重要了。