AI 抓虫时代，谁的系统还能高枕无忧？
这段话原本周五早上发在朋友圈，觉得值得展开聊聊，也分享给大家。
本周三，PHP 爆出惊天大漏洞。
我司产品虽然不用 PHP，但架不住某些 Marketing Site 用的是第三方 Vendor 提供的 WordPress。
其中有一家比较重要的 Vendor，我们从周二就开始联系了（因为和安全组织有合作，提前收到了漏洞预警）。


周三，对方终于回复，说已经按照我们的要求完成了升级。


我随手 curl 了一下。


嗯，升级确实升级了。我们明明要求从 7.x 升到 8.4.27 或者 8.5.12 ，结果哥们儿给升到了 7.4.26 ，恰好是有问题的版本。


我无语了。


再次发邮件，强调必须升到 8.4.27。没过多久，对方回复：搞定！


我心想，一个人再蠢，总不至于连续两次都没法正确执行这么简单的指令吧？


您猜怎么着？


哥们儿这回给升到了 8.5.11。


好家伙，用尽各种姿势，死活往枪口上撞。


我尼玛无语凝噎。


再发邮件，对方不回了。直到昨天才说还在处理。今天早上我又检查了一遍，终于 TMD 升级好了。
漏洞都在外面飞了两天了。


漏洞补好，现在总算敢公开发发牢骚了。唉，这种 Vendor，有一个算一个，赶紧死干净吧。


然而，骂归骂，这件事背后其实有个更值得深思的问题： 我们正在进入一个网络安全草木皆兵、风声鹤唳的时代 。


多年稳如老狗的 PostgreSQL，PG 19 已经推迟到了 11 月。问就是漏洞太多，修不过来，或者，更准确地说，是 PR Review 不过来。这倒不是说 PG 19 的代码质量突然变差了，而是 AI 实在太牛逼了。以前找漏洞靠高手，靠经验，靠时间。现在 AI 抓虫跟玩儿似的，一抓就是一大把 Zero-day。


问题是，PG 绝不是特例。


现在摆在所有 CTO 面前的，是这样一幅令人头皮发麻的画面：


贵司一坨一坨、日积月累垒起来的屎山，加上社区里各种年代久远的屎山（我不是针对 PG，我是说在座的所有 OSS），再辅以线上那些上了年纪、缝缝补补跑了十几年的 Infrastructure。


还没完。


CI/CD Pipeline 里、环境变量里、SSM 里、各种配置文件里、内部员工的机器里……满天飞着不知道多少 Token、API Key 和 Credential。有多少早已失效？有多少权限大得离谱？又有多少泄露了都没人知道？


所有这些东西，在过去之所以还能勉强相安无事，很大程度上并不是因为它们足够安全，而是因为 发现和利用漏洞的成本足够高。


但这个前提，正在被 AI 彻底摧毁。


当 Opus 5.5、Astra 6，以及未来更智能的顶级模型，可以不知疲倦地审查代码、挖掘漏洞、串联攻击路径，甚至把原本需要顶级安全专家才能完成的工作变成流水线时，我们那些看似坚固的系统里，究竟还藏着多少不为人知的漏洞？


更可怕的是，AI 不会只站在防守的一边。


过去依靠人力、流程、权限隔离和定期扫描建立起来的安全体系，面对攻击能力的工业化和自动化，还能撑多久？


当发现漏洞的成本趋近于零，而修复漏洞依然需要人类排队 Review、测试、部署时，这场攻防战的天平会倒向哪一边？


这是未来每一位 CTO 都不得不面对的问题。


这个局，究竟该怎么破？


未来的互联网软件，又该如何重新设计自己的架构、安全边界与工程体系，才能在 AI 时代把自己打造成真正固若金汤的堡垒，既防外人，也防内奸？