廉价攻击改变了防御经济学
随着生成式 AI 降低了将软件漏洞转化为实际攻击所需的成本和时间，网络安全正进入一个防御策略必须变得更具结构性的阶段。这是 IEEE Spectrum 上一篇客座文章提出的观点。文章警告说，把一个新发现的缺陷转化为活跃的网络攻击，如今不再需要数月时间。按文章的表述，这一过程现在可以快速且以极低成本发生。
文章将此描述为“1 美元网络攻击”时代，这一说法概括了攻击者经济学的变化。如果进攻能力变得廉价、可扩展且可自动化，安全团队就不能再把被动打补丁作为主要防线。
持久防御的理由
文章的核心主张很直接：编写内存安全代码，比靠不断打补丁来实现安全更有效。这个论点与其说是针对某一种语言或某一家厂商，不如说是针对设计理念。如果在软件构建阶段就能预防某类漏洞，防御方就比持续在漏洞被发现后才忙于修补可利用缺陷时处于更有利的位置。
在 AI 驱动的环境中，这种区别更加重要。打补丁的策略默认组织能够发现问题、理解问题、正确排序优先级，并在对手将其武器化之前部署修复措施。更快的自动化利用会压缩这一时间窗口。在这种情况下，尽可能从源头减少可被利用的内存相关漏洞，在战略上更有价值。
为什么 AI 会让旧弱点更危险
作者认为，大语言模型如今可以支持快速且强大的网络攻击。就实际而言，这意味着过去需要人工完成的大量工作，比如分析漏洞、生成利用代码或改造攻击技术，都可以被加速。即便 AI 并不足以覆盖入侵的每个阶段，它也能显著降低门槛，让已知的软件弱点类别在规模化上更具威胁。
文章也在一个方面保持了谨慎：它并没有声称生成式 AI 本身会解决网络防御。相反，它主张采用能够超越日常披露与应急响应周期的防御方式。在这一框架下，内存安全不是一种时髦的工程偏好，而是一种改变系统安全基线属性的方法。
从被动安全转向预防性工程
这种重点转移对软件开发有更广泛的影响。长期以来，安全团队一直在补丁管理、监控、事件响应和安全编码之间做平衡。但如果漏洞利用窗口继续缩短，更多责任就会前移到架构、语言选择和编码实践上。
内存安全处于这一转变的中心，因为与内存相关的错误历史上导致了许多严重漏洞。如果组织能够通过更安全的工具和更严格的工程纪律减少这类故障，就能缩小自动化漏洞生成最有效的作战空间。
论点关乎韧性，而非新奇
IEEE Spectrum 这篇文章之所以值得注意，并不在于它提出了某种全新的安全概念。关于内存安全的讨论已经持续多年。真正变化的是 AI 辅助进攻带来的紧迫性。攻击者从发现缺陷到完成武器化的速度越快，就越难依赖事后修正作为主导操作模式。
换句话说，AI 不只是增加了另一个威胁向量，它还改变了这些熟悉威胁的节奏。这使得长期存在的防御措施更具吸引力，因为它们不依赖单个补丁的时间安排。
更窄，但更强的安全主张
这篇文章的论点还值得注意的一点是它有边界。它并没有承诺绝对安全，也没有声称内存安全代码能消除所有网络风险。相反，它认为，当攻击生成变得廉价时，持久防御能带来更高价值。这比关于 AI 驱动防御平权的宏大承诺更可信。
对于决定投资方向的组织来说，这种有限而明确的论证，可能比宽泛的未来主义修辞更有用。如果进攻成本正在下降，那么合乎逻辑的回应就是在不依赖检测和修复完美速度的预防性控制上投入更多。
给软件构建者的更大信号
更广泛的启示是，软件质量与安全态势正变得更加紧密地绑定。在一个 AI 能压缩从弱点到利用路径的环境中，过去被视为技术债务的问题，现在会成为一线安全决策。
IEEE Spectrum 这篇文章指出了一个未来：韧性更少依赖漏洞披露后的英雄式补救，而更多取决于软件在发布前是如何构建的。如果“1 美元网络攻击”真的成为现实中的运营假设，那么像内存安全代码这样的持久防御，将不再像最佳实践，而会更像基础卫生要求。
本文依据 IEEE Spectrum 的报道。阅读原文。
Originally published on spectrum.ieee.org