AI 黑客让「黑十月」变成每周打卡Welcome to the Valley of Pain

这周被称为「黑十月」，但安全专家说，到明年这种级别的漏洞爆发会变成常态，甚至算温和的。原因是 AI 把发动网络攻击的门槛降到了几乎为零。

这周可能是网络安全史上最糟的一周。PHP 爆出两个大漏洞，全球七成网站都靠它跑，政府、医院、公司纷纷把服务下线避险，攻击尝试已有数百万次。

同一天，Netflix、PayPal、沃尔玛等使用的多个软件被曝漏洞或被黑；昨天，每年给三分之一美国成年人做化验的 Quest Diagnostics 也承认被入侵。安全公司 Palo Alto Networks 的高管被问到另一个被黑的云平台时愣住：「我没看到这条，这周太忙了。」

AI 把黑客变成了免费拼团

Cloudflare 的 CEO 说，未来一两年，互联网会感觉「天在往下掉」。几十年积攒的软件漏洞一直没人细查，以前黑客人少活好干，现在不一样了。

开源模型可以免费下载、随便用，最近几个月已经变得很会找漏洞、自动发起攻击。恶意活动量激增，篡改网页、偷个人信息、勒索软件都会变多。

门槛低到什么程度？CrowdStrike 把上月底韩国银行遭遇的一连串攻击归到一个 26 岁的中国人身上。他拿到数据后，转头问 AI：「这怎么变现？去哪卖？」他「根本不知道自己在干什么」。

你用的每个小网站都是入口

Node.js 也被曝漏洞，财富 500 强和 AI 写的程序都在用。安全专家说，「网页就跑在这些东西上」，攻破一个，可能顺着供应链感染几万家机构。

人们还被建议：别自己搭邮件服务器和家庭文件系统，谷歌和 Dropbox 有钱扛住 AI 攻击，你没有；删掉不用的浏览器插件；别默认你用的每个网站都安全，那个宝可梦卡牌站、梦幻体育平台或观鸟论坛，都可能被黑。

往前看，AI 最终也许能帮忙找出并补上漏洞，但在那之前，我们得先熬过这段青黄不接的日子：要重写和加固几十亿行一直带着漏洞的代码，多久算多久。

最让我不舒服的是结尾那个岔路：要么互联网变得更开放，谁都能用 AI 做安全检查；要么它变得更中心化，只有大厂的服务才被信任。我们可能需要新的墙，但也可能被关在墙里。