AI如何改变补丁管理及开发者需了解的暴露管理知识
内容提要
AI正在改变漏洞管理方式，但仅按严重性评分修复并不足够。文章强调应从传统漏洞修补转向暴露管理，结合代码可达性、依赖树和SBOM等上下文评估真实风险。开发者需审计传递依赖、检查代码路径、生成SBOM，并采用补偿控制和最小权限原则，优先处理实际可利用的漏洞。
延伸解读
CVSS评分的局限
CVSS评分只描述漏洞本身的严重性，不反映其在实际环境中的可利用性。例如，一个关键漏洞若仅存在于开发环境且不可网络访问，其实际风险可能低于一个高严重性但暴露于互联网且能访问敏感数据的漏洞。因此，仅依赖CVSS排序可能导致修复优先级错位，浪费工程资源。
从漏洞管理到暴露管理
传统漏洞管理关注“存在哪些CVE”，而暴露管理则评估“攻击者能利用哪些路径访问关键资产”。后者结合代码可达性、网络暴露、IAM权限等上下文，帮助团队聚焦真正可利用的风险，而非盲目修补所有漏洞。这种转变有助于在漏洞数量庞大时优先处理高风险项。
AI加速漏洞利用窗口
AI能自动进行代码分析、生成利用代码，显著缩短漏洞从发现到被利用的时间。例如，DARPA的AIxCC竞赛中，AI系统能自动发现并修补漏洞。这意味着安全团队必须更快响应，但更重要的是，需借助AI关联漏洞与运行环境，以确定哪些漏洞最紧急。
开发者实用建议
开发者应审计传递依赖（如用npm ls、pipdeptree），检查代码可达性（如用grep），在CI/CD中生成SBOM（如用Syft），并在无法立即修补时采用补偿控制（如限制网络访问）和最小权限原则。这些措施有助于在漏洞被利用前降低风险，并确保修复工作有的放矢。
Q&A
补丁管理和暴露管理有什么区别？
补丁管理主要关注识别和修复软件漏洞，而暴露管理则更广泛地评估漏洞是否构成实际可利用的风险，考虑网络可达性、代码路径、资产暴露等因素。
为什么仅根据CVSS严重性评分修复漏洞不够？
因为CVSS评分只描述漏洞本身的严重性，不考虑漏洞所在的环境。例如，一个CVSS 9.0的漏洞如果只在开发环境中且不可达，风险可能低于一个CVSS 7.0但暴露在互联网且可访问敏感数据的漏洞。因此需要结合上下文评估真实风险。
AI如何影响漏洞发现和利用的时间窗口？
AI能够自动扫描代码、生成漏洞利用代码、发现边界情况，从而缩短了漏洞从发现到被利用的时间。例如，DARPA的AIxCC竞赛中，AI系统自动发现并修补了多个漏洞。这使得安全团队的反应时间更短，需要更有效的优先级排序。
开发者如何审计传递依赖？
开发者可以使用工具查看依赖树，例如Node.js的npm ls、Python的pipdeptree、Java Maven的mvn dependency:tree，以了解哪些直接依赖引入了传递依赖，从而识别潜在风险。
什么是SBOM，如何在CI/CD中生成？
SBOM是软件物料清单，列出软件包含的组件。可以在CI/CD中使用工具如Syft生成，例如命令'syft my-app:latest -o cyclonedx-json > sbom.json'，生成CycloneDX格式的SBOM，并随构建产物存储，以便在发现新漏洞时快速定位受影响的应用。
当补丁不可用或无法立即部署时，开发者可以采取哪些补偿控制？
可以限制网络访问、隔离工作负载、禁用受影响功能或最小化应用权限，以降低风险，直到补丁可用。这些措施不能替代补丁，但能减少被利用的可能性。
为什么在运行时应用最小权限原则很重要？
最小权限原则限制应用在运行时的访问权限，即使发生漏洞利用，也能限制攻击者横向移动和访问敏感资源。例如，容器可以使用只读文件系统和删除Linux能力，云应用应使用最小IAM权限。
