AI漏洞利用时代的开源安全：无需改动即可修补
内容提要
AI模型已能大规模发现开源软件漏洞，从披露到被利用的时间由2021年约一年缩短至2026年一天，预计2027年仅一分钟。开源维护者多为志愿者，难以应对漏洞洪流。企业应转向有厂商支持的专业开源，通过内部代理控制依赖来源并自动屏蔽已知漏洞版本，无需改变开发者习惯，并尽快调整安全策略。
延伸解读
漏洞利用窗口急剧收窄，传统修补节奏失效
文章指出，从漏洞披露到首次被利用的中位时间已从2021年约一年缩短至2026年一天，预计2027年仅一分钟。近80%的利用发生在公开披露当天或之前。这意味着企业按周排期的变更窗口和补丁流程已无法应对，未修补系统本身成为业务连续性的更大威胁。
开源维护者不堪重负，免费模式难以为继
Anthropic在2026年5月前报告的530个高危和严重漏洞中，仅75个被修补。许多开源项目由少数志愿者维护，甚至出现单一维护者负责超80%代码的情况。文章认为，企业长期享受“免费啤酒”式的开源软件，却期望志愿者提供及时安全修复，这种模式在AI漏洞洪流下已不可持续。
转向专业开源，但无需改变开发者习惯
文章建议企业采用有厂商支持的专业开源，由创建代码的团队在SLA下负责修复。实施上，无需让开发者改变下载依赖的习惯，只需将内部制品代理（如Artifactory、Nexus）的上游指向受支持源，并配置代理自动屏蔽已知漏洞版本、提供最近修补版本，即可在不增加开发者负担的情况下降低风险。
Q&A
AI漏洞利用时代，从漏洞披露到被利用的时间缩短到了什么程度？
2021年从披露到首次利用的中位时间约为一年，2026年已缩短至一天，预计2027年将缩短至一分钟。近80%的利用发生在公开披露当天或之前。
为什么开源软件在AI漏洞发现浪潮中首当其冲？
因为现代软件大量构建在开源之上，且源代码公开可见，使其成为黑客的低垂果实。同时，开源维护者多为志愿者，难以应对AI驱动的大量漏洞报告。
开源维护者目前应对AI发现的漏洞能力如何？
能力严重不足。截至2026年5月，Anthropic向开源维护者报告的530个高危和严重漏洞中，仅有75个被修补。许多维护者因压力关闭漏洞赏金计划或休息。
什么是“专业开源”？它如何帮助企业应对漏洞洪流？
专业开源指由有商业利益的厂商或设有安全响应团队、资助维护者的基金会支持的开源软件。厂商对代码负责，按SLA提供修复，能避免因维护者 burnout 导致修复延迟。
企业如何在不改变开发者习惯的情况下，控制开源依赖来源并自动修补漏洞？
企业可将内部制品代理（如JFrog Artifactory或Sonatype Nexus）的拉取源指向受支持的源（如TrueSource），构建文件和流程保持不变。代理可设置为屏蔽已知漏洞版本并自动提供最近的修补版本，开发者无感知。
为什么传统的“推迟打补丁”策略在AI漏洞利用时代不再可行？
过去漏洞利用需要数月才出现，推迟补丁以保业务连续性的权衡尚可辩护。但现在利用在披露后一天内就会出现，未打补丁的系统成为业务连续性的更大威胁。超过80%的安全专业人员曾为避免业务中断而跳过补丁，这一做法已不再安全。
