填补补丁空窗期：漏洞利用不会等到补丁星期二
内容提要
Log4Shell四年后生产环境仍存在漏洞实例，根源在于现代应用依赖大量开源组件，难以快速清点与修复。AI辅助漏洞研究缩短了攻击者开发利用的时间，安全团队需同时应对多起高危事件。补丁仍是根本方案，但补丁空窗期风险突出。eBPF可在不改代码和内核的情况下于内核层观测并实时阻断漏洞利用，成为补丁落地前的有效补偿控制；Cilium/Tetragon等已展示该方向，但仍处早期。
延伸解读
补丁空窗期为何难以消除
文章指出，补丁空窗期并非工具不足，而是现代应用依赖大量传递性开源组件，清点、测试和修复本身耗时。从发现漏洞到安全上线，受依赖扫描、回归测试、变更窗口和归属团队制约，与公告发布速度无关。因此，即使补丁已发布，生产环境仍可能长期暴露，Log4Shell四年后仍有实例即是例证。
AI加速漏洞利用，安全团队需应对并发事件
文章提到，AI辅助漏洞研究可让攻击者用大模型追踪陌生代码库中的利用路径，并在数小时而非数周内生成可工作的概念验证变体。若趋势延续，安全团队将不再每隔几年应对一次Log4Shell级事件，而是同时处理数十起，且披露到利用的窗口不断缩短。这使补丁空窗期的风险更加突出。
eBPF作为补丁落地前的补偿控制
文章认为，eBPF可在不改应用代码和内核的情况下，将小型验证程序挂载到系统调用、网络包和进程执行等内核事件上，以低开销观测并实时阻断漏洞利用。Cilium/Tetragon已展示该方向：在内核层观察进程、网络和文件访问并执行策略。但文章强调这仍处早期，补偿控制需遵循先观察后执行、逐步推广、保留审计轨迹，并在真实补丁验证后退役。
Q&A
Log4Shell 漏洞已经过去四年了，为什么生产环境中还有未修复的实例？
现代应用依赖大量传递性开源组件，任何一个都可能携带关键 CVE，难以快速清点、测试并发布修复。补丁间隔由依赖扫描、回归测试、变更管理窗口和服务归属决定，而非公告发布速度。
AI 辅助漏洞研究如何影响攻击者利用漏洞的速度？
攻击者利用大语言模型在陌生代码库中追踪利用路径，并在数小时而非数周内生成可用的概念验证变体，从而缩短从披露到利用的时间窗口。
什么是补丁空窗期？为什么它很危险？
补丁空窗期指补丁发布到实际部署到生产环境之间的间隔，也称为预补丁暴露窗口。在此期间，未修补的 CVE 极易被攻击者利用，尤其是当攻击者能快速开发出利用程序时。
eBPF 如何帮助填补补丁空窗期？
eBPF 允许将小型验证程序附加到内核事件（系统调用、网络包、进程执行）上，无需修改应用代码或内核。它提供深度可观测性和低开销执行，能实时观测并阻断漏洞利用，作为补丁落地前的补偿控制。
Cilium 和 Tetragon 在漏洞防护方面做了什么？
Cilium 从 eBPF 基础 CNI 发展为子项目 Tetragon，专为运行时安全设计。Tetragon 在内核层观测进程执行、网络活动和文件访问，并能实时执行策略，无需进程内代理或修改应用代码。
实施基于 eBPF 的补偿控制时，需要遵循哪些安全实践？
应遵循云原生安全纪律：先观察再执行、逐步推广、保留变更审计轨迹，并在真实补丁部署并验证后立即停用补偿控制。
