当供应商提供的支持至关重要：AI如何改变开源安全格局
内容提要
AI加速发现开源软件漏洞，导致维护者面临大量安全报告，修复工作积压严重。企业关注维护者的响应速度，而非仅信任项目。Spring团队月报从7份增至112份，内部扫描另增370份。AI虽能发现漏洞，但补丁仍需人工编写。维护者正将发布周期从两周压缩至一天，并加强安全扫描以应对快速利用漏洞的威胁。
延伸解读
AI漏洞报告激增，维护者面临“海啸”
文章指出，前沿AI模型大幅加速了漏洞发现，使开源维护者收到的安全报告从“涓涓细流”变成“海啸”。Spring团队月报从7份增至112份，内部扫描又增加370份。这不仅是数量问题，更迫使维护团队重新思考漏洞分类、验证和发布流程。企业应意识到，依赖开源项目时，维护者处理报告的能力和速度已成为关键风险因素。
补丁仍需人工编写，AI并非万能
尽管AI在发现漏洞和生成概念验证利用方面表现出色，但自动生成可靠补丁仍不成熟。Spring团队最近的CVE补丁全部由人工编写，以确保不会引入回归或更大问题。这提醒企业，在依赖AI加速安全响应的同时，不能忽视人工审查和验证的重要性，尤其是对于影响广泛下游应用的框架级项目。
发布周期压缩，企业需同步调整部署
为应对漏洞快速被利用的威胁，Spring团队正将发布周期从两周压缩至一天，以提供可预测的更新节奏。但文章强调，补丁交付更快只有客户能快速验证和部署才有意义。企业应重新评估自身部署管道，确保能跟上上游发布节奏，否则快速补丁可能无法及时生效，增加安全风险。
Q&A
AI如何改变开源软件的安全格局？
AI模型能够快速发现开源软件中的漏洞，导致安全报告数量激增，维护者面临大量修复工作，同时攻击者也利用AI能力，使得漏洞被利用的速度加快，企业需要更快地评估和部署修复。
Spring团队收到的安全报告数量有何变化？
Spring团队过去每月收到约7份安全报告，但在AI模型出现后，2024年3月收到55份社区报告，4月增至112份，同时内部扫描又增加了370份报告。
AI在修复漏洞方面表现如何？
AI在发现漏洞和生成概念验证利用方面表现出色，但在自动生成可靠补丁方面仍不完美。Spring团队的所有CVE补丁都是人工编写的，AI仅用于辅助识别和验证问题。
