AI 挖洞速度超越修复能力：微软内部承认 Mythos 发现的漏洞已积压至 8 月

在网络安全领域，一个前所未有的悖论正在微软内部上演：用来防御的 AI，反而成了压垮工程团队的最后一根稻草。

据 ProPublica 援引 5 月中旬的微软内部会议记录报道，Anthropic 的 Claude Mythos Preview 模型在漏洞发现上表现过于出色，以至于微软的工程团队根本来不及修复。仅在今年 4 月，Mythos 就在 SharePoint 中发现了 90 个严重漏洞 和 141 个重要漏洞。而工程经理们坦言，团队将忙于处理这些高优先级问题直至 8 月份，中等及以下严重性的漏洞只能暂时搁置。

这不再是理论上的“AI 提升效率”，而是现实中的“AI 制造瓶颈”。

为什么修不过来？

表面上看，这是人力不足的问题。但深层次原因更为复杂：

1. 规模效应失控：Mythos 已通过 Project Glasswing 项目分发给微软、谷歌、苹果等 40 家合作伙伴进行私密测试。它不是在一个产品里找漏洞，而是在 Teams、Microsoft 365、Copilot 等全线产品中同时扫描。SharePoint 只是冰山一角。
2. 遗留代码的历史债：微软许多产品已有数十年历史，积累了海量技术债务。这些代码在当年或许没问题，但在 AI 的高强度审视下无处遁形。对旧系统进行端到端评估，本身就是一项艰巨任务。
3. 修复窗口的压缩：随着更多 AI 工具流向恶意行为者，攻击者也能用同样的方式挖掘漏洞。微软修补的时间窗口正在急剧缩短。本月补丁星期二修复了近 600 个漏洞，但这可能只是杯水车薪。

被忽视的风险：中等漏洞的“组合拳”

会议演示中提到，中等严重性漏洞最终会被处理，但低严重性漏洞未被提及。这引发了一个关键担忧：多个中等漏洞可以串联成致命攻击链。

如果工程团队只盯着“严重”标签，而忽略了那些看似无害的中等漏洞，攻击者完全可能利用它们绕过防线。AI 发现了问题，但人类的分类逻辑和修复节奏，未必能跟上 AI 的发现速度。

微软的回应与未来

微软已向 ProPublica 确认，正在重新评估其分类方法、人员配置和技术投资，以适应这一“新常态”。

这不仅仅是微软一家的问题。当所有科技公司都开始用 AI 扫描自己的代码时，整个行业都将面临同样的困境：发现问题的能力指数级增长，而修复问题的能力仍是线性的。

或许，真正的解决方案不在于让人修得更快，而在于让 AI 不仅能“找”漏洞，还能“修”漏洞。在那之前，我们可能不得不接受一个事实：在 AI 时代，软件永远处于“已知但未修复”的状态，而安全，变成了一场与时间的赛跑。