AI 把软件旧账翻出来：Cloudflare CEO 说这波漏洞威胁还要持续两年

作者：陈一帆

11 月 5 日的 Cloudflare 第三季度财报电话会上，CEO Matthew Prince 称 AI 正在加速挖出传统软件里人类一直没发现的漏洞，未来两年严重网络安全威胁会持续出现，公司已与多家 AI 研究机构和安全公司合作，提前获取尚未公开的漏洞信息。企业的压力主要落在修补节奏上，而不是发现本身。

11 月 5 日的 Cloudflare 第三季度财报电话会上，CEO Matthew Prince（马修·普林斯）给了一个时间表：AI 正在把传统软件里人类一直没发现的漏洞加速挖出来，"预计未来两年，严重的网络安全威胁将持续出现" 。改变的并不是威胁类型，而是曝光速度：最近一段时间，就有 6 个严重漏洞被公开披露 。

为什么突然变多了

打个比方，老小区改造时常见的一幕是：墙一凿开，才发现几十年前的线路早就不合规。这些问题不是那天突然坏掉，而是以前没人凿开检查。软件也一样：老代码、老依赖、老配置一层层叠上去，靠人工审计和渗透测试，能覆盖的范围和频率都有限。AI 的差别在于不疲倦、不嫌枯燥，可以成批地把代码和配置翻一遍，把"翻不完"变成"翻得完"。所以漏洞披露变密，更像是存量问题被集中翻了出来，而不是世界一夜之间变危险了。

对做产品的人来说，这里有一点两面性：难处是历史遗留问题会集中暴露；机会是发现问题的成本在下降。早一点自己发现，总比让攻击者先发现要好。

压力主要落在节奏上

Prince 说，CISO 们对接连出现的漏洞披露感到担忧，包括金融机构在内的企业正在签大额安全服务合同 。真正的痛点是：修补速度跟不上披露速度。企业里一个补丁要经过资产清点、影响评估、灰度、停机窗口等环节，走几天到几周很正常；当一周内披露好几个严重漏洞，修复队列就会堵住，可利用的时间窗口被压缩。

他还提到一句值得记下的话：越来越多企业会选择一体化平台，而不是分别采购各种安全方案 。这话有两层意思：第一层是对客户采购行为的观察，漏洞袭来时，没有谁愿意在五家供应商之间来回切换；第二层恰好是 Cloudflare 自己平台的卖点。厂商的判断可以参考，但它不是独立第三方结论。

Cloudflare 自己的办法：争取提前量

按 Prince 的说法，Cloudflare 已与多家主要 AI 研究机构和网络安全公司建立合作，提前拿到尚未公开的漏洞信息，据此提前保护客户 。说白了就是买"提前量"：既然曝光速度提上来了，那就在公开披露之前先知情、先动手。方向合理，但合作方是谁、信息怎么交换、能提前多久，财报会上没有具体说明。

还没核实的部分

需要说清：文中"两年""6 个严重漏洞"都是转引自对该财报电话会的中文报道 ；这 6 个漏洞具体指哪几个、编号是什么，以及 Prince 的英文原话，截至发稿没有官方实录可对照。财报会上的这类表述通常偏方向性，具体数字还要看后续正式披露。

对我这样一个爱尝鲜的人，这条消息最值得琢磨的地方在于：AI 在安全领域的第一波实际影响，可能并不是一些报道常说的"AI 攻击人"，而是"AI 帮人翻旧账"。前者听着吓人，后者却已经在发生了。

转载说明

本文根据以下公开资料整理，原文及配图出处见下方。

• [S1] Cloudflare CEO：AI 引发的软件漏洞浪潮预计将持续两年