作者：Matt Bornstein（a16z 合伙人）

编译：深潮 TechFlow

深潮导读：在过去二十多年里，全球网络安全防御体系建立在一个心照不宣的时间差假设之上：从一个系统漏洞被公之于众，到攻击者能够编写出高可靠的漏洞利用程序（Exploit），通常需要人类顶级黑客耗费数周乃至数月的时间。防守方正是依托这个脆弱的“修补时间窗口”，维系着数字世界的日常运转。

然而，硅谷顶级风投机构 a16z 在最新深度研报中基于长达 23 年的攻防历史数据指出，这个支撑了整个互联网安全体系的底层瓶颈已经被 AI 彻底粉碎。如今大模型自主生成攻击代码的能力每 4 至 5 个月便翻番一次，已经追平了代码生成的进化速率。将一个已知漏洞武器化所需的时间已经被压缩至几分钟或几小时，而全球关键基础设施的修补周期却依然停留在 30 至 45 天，甚至长达数年不可修补。

虽然 a16z 认为具备物理隔离与强韧冗余的国家电网与核心骨干网不至于瞬间瘫痪，但这无疑宣告了“弱小不足以成为攻击目标”时代的彻底终结。当攻击边际成本无限趋近于零，数以百万计的中小企业、地方医院与水务系统将面临无差别洗劫。理解这场安全生产力不对称倾斜，对于每一位技术管理者与投资者都至关重要。

在八月的最后一天，一名单独的操作人员将数百个 AI 智能体同时对准了一套被全球学校和企业广泛使用的打印管理服务器。

这些智能体在极短时间内自主搭建了一个测试实验室，针对 4 天前刚公开披露的 2 个安全漏洞现场编写了利用代码，并从互联网扫描服务中拉取了目标清单，随即全面展开攻击。

从一个空空如也的工作区，到攻破第一个真实的受害机构内网，整个过程耗时不到 4 个小时。

次日清晨攻击行动全面启动时，在短短 26 秒内便有 11 家机构相继陷落。截至网络安全监测机构 GreyNoise 完成统计时，全球 48 个国家的 395 家机构已被攻破，其中一半是学校。执行这一攻击任务的模型仅仅是一个廉价的开源权重模型，根本不是来自美国顶级实验室的前沿旗舰大模型。这些智能体甚至在攻击中直接忽略了操作员预设的“避开 28 个特定国家”的指令。

7 周之后，被全球 70% 网站使用的 PHP 编程语言中，有 2 个极其严重的致命漏洞在官方补丁发布前意外泄露。

在漏洞正式公开前的 4 天、官方补丁发布的 12 小时前，亚马逊部署用于诱捕攻击者的蜜罐诱饵服务器就已经遭遇了漏洞利用攻击；在随后的 3 天内，攻击者便拿出了完全可用的交互式远程控制终端（Shell）。

亚马逊首席信息安全官（CISO）CJ Moses 对此明确写道：AI“正在让将补丁比对差异或漏洞通告转化为可用攻击工具的成本变得极其廉价”，并且“过去行业内通行的 7 天或 30 天安全服务等级协议（SLA），本质上是建立在一个如今已经不复存在的时间差假设之上的”。

在 a16z 内部，这些真实的攻防事件引发了一场激烈的交锋讨论。阵营的一方认为，我们正在步入一个糟糕透顶的十年：智能体将在漏洞公布的数小时内无差别攻破所有尚未打补丁的目标，进而横扫那些修补周期长达数月乃至数年的电网、供水系统与医院网络。

而另一方阵营则有着似曾相识的历史记忆：2003 年 Metasploit 的诞生曾扬言要让全天下的业余新手都武装上网络武器；2009 年 Shodan 搜索引擎的问世曾被认为会将地球上每一台工业控制器和物联网设备彻底暴露。但最终，这两者都没有终结互联网的运行。

核心研判：攻防失衡的现实与边界

在过去二十年里，进攻性网络安全的核心瓶颈，始终在于将一个已知的脆弱性缺陷转化为一套高可靠武器化漏洞利用程序（Exploit）所必需的专家技能与漫长时间。

然而在 2025 年和 2026 年，这项工作变得异乎寻常的廉价与迅捷，其所需时间已经从过去的数天甚至数月，断崖式缩减至数分钟或数小时。反观防御端的漏洞修补速度却丝毫没有变快，并且对于全球范围内的庞大系统（特别是关乎国计民生的关键基础设施）而言，修补速度在物理上根本快不起来。

但这并不意味着我们正在滑向一场全面的终极灾难。我们坚信，国家电网绝不会因此突然大面积陷入黑暗，整个互联网也绝不会因此彻底瘫痪。

我们所预判的真实演进图景，是全球将迎来一系列类似于 2003 年大蠕虫时代以及 2017 年 WannaCry 勒索风暴的广泛爆发。这波浪潮将最沉重地砸向那些无法快速更新修补的存量系统，以及少数攻破单次便能攫取数十亿美元暴利的极高价值目标。

漏洞利用程序是我们在过去 23 年中唯一能够精确量化统计的环节，因此我们的研究数据从这里切入。但必须认识到，一名熟练人类黑客的时间成本渗透在攻击链条的每一个环节中。

侦察网络拓扑、针对目标独特的软硬件环境微调攻击载荷、在内网中横向移动权限，以及最终完成变现：每一个步骤过去都需要专人操盘，而黑客的时间只有投入在能够带来丰厚回报的目标上才合算。这正是过去所谓的“弱小不足以成为攻击目标（Too small to target）”的真实含义。小型机构过去虽然无法幸免于大规模自动化僵尸网络扫描，但它们从来无需担心遭遇高水平黑客的手工针对性打击，因为根本不值得耗费专业人力。

而如今，AI 正在削减这一整套攻击链条中每一个环节的成本，绝非仅仅局限于生成利用代码本身。这正是为什么今年秋季发生的两起最具破坏性的恶性事件甚至根本不需要任何全新的零日漏洞：针对欧洲数百家超市冷冻系统的攻击，仅仅命中了那些早已不再接收固件更新、且漏洞细节早已公开数月之久的老旧工业控制器；而针对币安高达 $63 亿的惊天失窃案，仅仅是通过渗透了一名工程师的个人电脑便长驱直入。

图：2018 年至 2026 年漏洞公开至遭到实际攻击的时间窗口演变

来自网络安全巨头 Mandiant 的统计数据显示，从一个安全漏洞公开披露到市场上首次出现实际攻击行为的平均间隔时间，已经从 2018 至 2019 年的 63 天，骤降至 2020 至 2021 年的 44 天、2021 至 2022 年的 32 天，以及 2023 年的仅剩 5 天。

到了 2024 年，实际在野攻击行为平均比漏洞正式公开披露还要早整整 1 天；而进入 2025 年，这一窗口已经演进为平均在披露前 7 天便已遭遇在野攻击。

这里必须指出一个至关重要的时代背景：上述两条时间线的交叉逆转，其实在自主智能体 AI（Agentic AI）全面爆发之前便已经发生了。国家级黑客组织和顶级勒索犯罪团伙，此前就早已学会在官方补丁发布之前针对暴露在公网上的设备展开定点清除。

AI 真正带来的颠覆性变量，在于它彻底重构了谁有能力在这个狭窄的时间窗口内展开行动，以及让那些早已公开已知的存量漏洞（N-day）被武器化的速度达到了何等恐怖的量级。

历史追溯：为什么漏洞利用曾是最大瓶颈

所谓漏洞利用程序（Exploit），本质上是一段能够将代码或逻辑中的脆弱性缺陷转化为系统访问控制权限的计算机程序。在长达二十年的时间里，构建这样一个程序是一项极其昂贵且极度耗时的精细手艺。

兰德公司（RAND）在 2017 年针对 200 多个真实零日漏洞进行的一项经典研究发现，一名专业顶级黑客构建出一个稳定可用的漏洞利用程序，平均耗时中位数高达 22 天。黑市上的中间经纪商为每个可用漏洞开价从数万美元至数百万美元不等，而这种核心研发技能过去几乎全部垄断在国家级情报机构和少数资金极其雄厚的跨国网络犯罪集团手中。

正是这种高不可攀的技术门槛，完美解释了漏洞管理领域最常被引用的一项反直觉统计数据：在人类历史上所有公开发布的已知漏洞中，最终真正在野外被黑客武器化并实施过实际攻击的，仅仅只有大约 6%。Epoch 研究团队的分析师 Timothée Chauvin 将这一巨大鸿沟的大部分归因于：过去的攻击者“根本没有充裕的时间去把每一个漏洞都编写出攻击工具”。

这同样也是为什么开源渗透测试框架 Metasploit 当年没有毁灭互联网的核心原因。Metasploit 确实让使用他人已经写好的攻击代码变得极其容易，但在最前沿，依然必须有顶级专家先手工写出代码、手工锁定目标并亲自调度攻击。而今天，AI 智能体正在全面接管这所有环节。

在历史上的那个时代，防守端的防御能力同样出现了跨越式的升级。微软曾毅然暂停了所有 Windows 新功能的研发整整两个月，全员转入安全加固，并随后推出了默认开启系统防火墙和强化补丁控制的 Windows XP Service Pack 2。

网络犯罪也逐步走向职业化，促使黑客更加倾向于保持隐蔽访问权限以细水长流地变现；Metasploit 自身也演变成了防守方进行安全自查与红蓝对抗的核心工具。后面这两股制衡力量在今天依然发挥着关键作用。但根本的区别在于：当年的微软能够凭借一己之力强行更新全球绝大多数计算机上运行的操作系统；而今天暴露在公网上的海量系统，分散在数以万计的供应商和数以百万计早已无人维护的装置中。

一个更为贴切的历史镜鉴，是历史上那次原本稀缺的攻击工具突然向大众免费普及的时刻：永恒之蓝（EternalBlue）。微软于 2017 年 3 月发布了针对该漏洞的修复补丁；一个月后，美国国家安全局（NSA）专为该漏洞打造的顶级武器级利用代码惨遭泄露。

在官方补丁已经公开面世长达 59 天之后，著名的 WannaCry 勒索蠕虫横空出世，瞬间瘫痪了全英格兰 236 家公立医院信托机构中的 81 家。紧随其后的 NotPetya 更是造成了超过 $100 亿的毁灭性经济损失。值得深思的是，每一位受害机构在灾难降临前，其实都有整整两个月的充足时间去打补丁。

在此之前，则是 1999 年至 2004 年席卷全球的网络蠕虫时代。根据网络安全专家 Jason Healey 引用的历史测算数据，那一系列大爆发如果换算为 2025 年的美元计价，造成的直接经济损失超过了 $2500 亿。直到微软开启了历史性的安全重构，那场浩劫才最终被遏制。

真实战场：2026 年网络空间前线异动

2026 年以来的前线真实实战记录虽然时间尚短，但每一个案例都极具指向性与警示意义。

在 9 月 21 日，一个 AI 智能体通过组合串联某工单客服软件中的 2 个零日漏洞，成功攻破了荷兰漏洞披露研究所（DIVD）的防线。正如该机构在官方事后复盘中所惊叹的那样，整个内网提权“在数秒钟内便宣告完成”，且全程均由该智能体“完全自主做出下一步战术决策”。

在今年 5 月，谷歌威胁情报团队披露了其监测到的首个在野由犯罪分子使用 AI 研发的零日漏洞利用程序，该工具原本旨在用于大规模自动化网络攻击，所幸在正式投入使用前被成功拦截。8 月，美国国家安全局、网络安全与基础设施安全局（CISA）、联邦调查局、能源部与环保署联合发布紧急安全警报，警告黑客正在使用由 AI 自动生成的脚本，针对部署在能源、水务和化工厂中暴露于公网的西门子工业控制器展开广泛探测攻击。该警报并未提及任何全新漏洞，它所指出的唯一变化，是那些老旧的公开安全隐患如今被全面赋予了自动化攻击能力。

此外，工业网络安全巨头 Dragos 披露并记录了一起严重入侵事件：一名攻击者将某个前沿大模型作为自己的“首席技术执行官”，自主编写了超过 1.7 万行代码的定制化攻击框架，一路势如破竹渗透到了墨西哥某家水务公司的办公内网与工业控制系统边界处，在最后一刻才被防御系统艰难阻截。

上述事件虽然都尚未引发系统性的灾难，而 PHP 漏洞的风波更是从正反两个维度证明了当前的脆弱平衡。在漏洞公布一周之后，数百万次自动化攻击尝试最终仅确认了极少数成功的入侵案例：内存破坏类漏洞在现实中极难做到 100% 稳定利用，而各大云服务商和内容分发网络（CDN）更是在一天之内便在网络边缘部署了拦截规则。

然而与此同时，全球依然有 260 万至 440 万个暴露在公网上的 PHP 服务，其中约 80% 运行在官方早已终止支持的老旧版本上，且有数十万台根本没有任何补丁可打。它们大多是早已无人问津的陈年博客或微型企业网站，过去绝不会有任何黑客专门针对它们耗费精力。但这恰恰正是问题的死穴：当攻击成本无限趋近于零时，黑客根本不需要去刻意挑选目标；每一处被劫持的站点都会顺理成章地变成攻击者用于发起网络钓鱼、投毒或下一次大规模攻击的跳板肉鸡。不同于千年虫危机，这种安全风险根本不存在一个特定日期之后就会自然消失的节点。

能力跃迁：攻击进化为何在当下突然提速

顶级 AI 实验室的研究成果为我们在前线看到的异动提供了底层解释。这些数据大多由 AI 开发者自身测试得出，且在没有实时人类防守方对抗的理想靶场中运行，因此我们将其视作一种机制解释，而非直接等于现实战况。

在 2026 年 3 月，Anthropic 官方报告称，经过数百次尝试和约 $4000 的算力开销，其当时的模型成功生成了 2 个完全可用的 Firefox 浏览器真实漏洞利用程序。仅在一个月后，其下一代未公开发布的模型在完全相同的任务上，一口气产出了整整 181 个可用攻击载荷。到了 6 月，Anthropic 进一步宣布，该模型从拿到官方发布的漏洞修复补丁比对代码，到反向生成出可用的攻击代码，耗时已不足 1 小时；而在没有任何源代码的前提下仅凭 Windows 内核二进制文件，该模型仅耗时 18 个小时、以每个约 $2000 的极低成本，便自动生成了 8 条完整的本地提权利用链。

完全独立的第三方实证评估也指向了相同的结论：英国 AI 安全研究所（UK AISI）的长期追踪表明，前沿大模型能够完全自主独立完成的网络攻防任务时长上限，每 4.7 个月便翻番一次；在今年 5 月，该机构正式记录到了首批能够完全自主打通其 32 步企业内网靶场和工业控制网络靶场的大模型。

图：英国 AI 安全研究所与 METR 测试显示前沿模型网络攻击任务跨度每 4.7 个月翻倍

网络安全绝非唯一的特例。自 2024 年末以来，大模型在网络安全和软件编程两大领域中能够稳定可靠交付的任务时长上限，均保持着每 4 至 5 个月翻倍一次的惊人演进步伐。软件工程领域的发展轨迹已经提前向我们揭示了未来的图景：在短短不到两年的时间里，编程智能体便从最初简陋的实验室技术演示，迅速渗透至全球 83% 的大型企业并进入实际生产管线。

图：人类顶级专家与 AI 大模型从漏洞发现到构建可用攻击载荷的耗时对比

简而言之：构建一个漏洞利用载荷的代价，已经从过去人类顶级专家整整一个月的辛劳，坍缩为几小时的廉价机器算力；一个刚刚发布补丁的已知漏洞（N-day），如今在大批机构的安全主管甚至还没来得及读完官方安全通告之前，便已被自动化武器化。

停滞的防守：物理世界的修补周期纹丝未动

早在 2003 年，Qualys 在量化重大安全漏洞的“半衰期”（即受影响企业修复其半数暴露系统所需的时间）时，得出的结论是 30 天。到了 2008 年，这一数字依然岿然不动地维持在 30 天。

而根据最新的《2026 年 Verizon 数据泄露调查报告》（DBIR），企业针对在野已知遭利用漏洞的全面修复时间中位数已经攀升至 43 天，比前一年的 32 天不降反升，且在整整一年之内能够彻底完成修补的系统仅占 26%。颇具讽刺意味的是，恰恰就在这一年，漏洞利用正式超越了钓鱼凭证，成为全网数据泄露最首要的源头入口。

在大型企业之外的广大下沉世界，修补节奏更是迟缓乃至完全停摆：在 2025 年发布的工业控制系统安全通告中，整整四分之一在出厂时就根本没有任何可用的修复补丁；电网运营商被监管法规允许预留长达 35 天的时间去评估补丁安全性，并再享有 35 天的时间去实地打补丁；而美国 FDA 对医疗设备网络安全的监管指令，在法律层面上也仅仅覆盖全新出厂的设备。

即便在拥有最雄厚技术资源的科技金字塔顶端，漏洞修补的最后一公里同样充满泥泞。今年 10 月，Anthropic 报告称其尚未公开的大模型针对 Linux 内核中多路径 TCP 模块的一个竞态条件漏洞，成功编写出了能够让未授权远程黑客直接夺取服务器完整最高控制权的攻击代码。然而，距离上游开源内核早在 10 月 5 日就已经合并了修复代码过去三周多之后，全球最主流的两大服务器发行版 Ubuntu 和 Red Hat 却依然未能向用户推送修复安装包；Red Hat 最初甚至将该漏洞仅评定为中等危害，理由是“竞态条件在现实中极难精准触发利用”。结果大模型在不到 1 小时内便完成了利用。当今的安全评级体系，依然死守着“攻击者是人类”的陈旧过时假设。

买单的企业决策者对此心知肚明。在我们同事本周刚刚发布的针对 100 家大型跨国企业安全负责人的调研中，一位金融科技公司的 CISO 直言不讳地指出：“你发现漏洞的速度确实被 AI 成倍加快了，但你修补漏洞的速度却根本快不了一丁点。”

审慎乐观：为什么我们不认为会导致系统性毁灭

首先不妨从电网谈起，因为这是全社会在网络战想象中最深层恐惧的梦魇。然而切断国家电网的供电，所需要的绝非仅仅是一个系统的入侵访问权限。

电网调度系统使用的是专门定制的冷门工业控制协议，配备了完全独立于软件之外、基于纯物理机械原理来阻断故障扩散的继电保护硬件装置，且在极端情况下几乎全都可以无缝切换为纯手动物理操作。在人类有记录以来的每一次成功电网攻击中（例如 2015 年和 2016 年乌克兰电网遭袭），都需要国家级顶级黑客团队耗费长达数月的现场精密踩点、针对具体电站量身定制攻击固件，且供电在数小时内便由人工调度完全恢复。美国大型电力公用事业机构长期在联邦强制性可靠性标准监管下运营，有着极其严格的物理网络分段隔离与强制补丁规范。

对于主权国家而言，针对电网发起战略攻击的最大约束从来就不是缺乏漏洞利用代码，而是政治意图以及是否愿意承受由此引发全面现实战争的灾难性地缘后果。根据 CISA 的调查披露，某些国家级黑客曾在部分美国关键基础设施内网中悄然潜伏潜伏了至少五年之久，但拥有权限并不等于会选择引爆破坏。

真正令人担忧的不可控变量，在于那些没有地缘顾忌的极端破坏力量：极端黑客行动主义者、恐怖组织，以及那些被大国用于撇清责任的外围代理人。过去束缚这部分狂热分子的核心短板从来不是意图，而是能力，即缺乏将数字控制权转化为物理破坏效果的深厚工程积累。但这恰恰正是 AI 正在急剧抹平的鸿沟。

开源权重模型的技术能力通常仅落后最顶级闭源模型数月至一年左右，而剔除安全拒绝机制的“越狱版”模型如今早已不再是暗网专属：开源社区 Hugging Face 上托管着数以千计的相关变体，自 9 月以来甚至已经有商业初创公司公开售卖剔除对齐限制的顶级开源大模型云端 API。工程界普遍认为，虽然暴力移除安全护栏会轻微损耗一定的推理精度，但根本无法阻挡这一趋势演进。我们必须清醒地假定：在未来一年之内，一个不受任何安全约束的大模型，将完全具备今天最强合规大模型所展现的全部能力：自主挖掘漏洞、从补丁差异反编译攻击载荷、在内网中自主横向移动，并在脱离人类介入的情况下自主潜伏行动数周之久。

现实中暴露在外围的控制设备遭到恶意破坏的先例早已屡见不鲜：

2024 年 1 月，亲俄黑客组织通过篡改水泵控制参数，导致美国得克萨斯州马尔舒市的水塔发生严重漫顶溢流；2025 年 4 月，另一个黑客团伙远程强行打开了挪威布雷芒厄尔一座水坝的泄洪闸门长达 4 个小时；2023 年底，一个与特定地缘势力关联的团伙通过默认口令直接接管了全美数十家自来水厂的净水控制器。每一个遭遇入侵的目标都是暴露在互联网上的小型公用事业站点，而每一次破坏最终都表现为以分钟或小时计的局部扰动，从未演化为大面积的恶性断供事故。我们预计，未来借助更强 AI 武器化能力的攻击者，将更加频繁地对这类防守薄弱的小型公用设施发起骚扰打击。

但我们之所以依然判定主干电网不会发生全面崩溃，并非因为这些攻击团伙心慈手软，而是因为现代电网架构在设计之初就具备了吸收单点重大事故损失的物理冗余韧性。电网的物理跳闸保护机制依赖的是电压与电流的物理学法则，而非运行在操作系统之上的代码，且全网有着经过长期反复演练的黑启动恢复流程。这套抵御住了国家级军队打击的强韧骨架，同样能够挡住任何外围 AI 攻击者的浪潮。无节制恶意行为者的真正杀伤力，依然将集中倾泻在缺乏冗余的漫长尾部体系中。

与此同时，互联网整体架构的鲁棒性，也远远超越了它身上最薄弱的那台单机服务器。当今人类所依赖的绝大多数网络流量，全部托管在少数几家更新速度达到机器级毫秒级的超大规模云计算、CDN 与托管服务商之上。在 PHP 漏洞爆发期间，这些核心服务商在一天之内就为旗下数以百万计的托管站点统一配置了网络边缘动态拦截规则。全球核心路由协议（BGP）与域名解析体系（DNS）高度集中，受到被称为“安全界最顶尖 1% 集团”的顶级专业团队全天候严密布控。

纵观历史同样可以印证这一点：大蠕虫时代曾反复横扫整个互联网，但互联网从未彻底中断服务；NotPetya 肆虐造成了超过百亿美元的浩劫并让跨国航运巨头与制药厂停摆数周，但整个互联网依然运转如常。今天的宏观统计数据同样没有呈现出走向系统性崩溃的趋势：在野被确认利用的漏洞数量虽然从 2023 年的约 640 个温和攀升至 2025 年的 880 个，但同期公开披露的漏洞总数却激增了整整三分之二；全球勒索软件的实际赎金支付总额已经连续第二年出现下滑；在 PaperCut 打印机漏洞攻击的 440 家受害机构中，最终仅有 12 家彻底丧失了内网控制权。

图：历年新增公开 CVE 漏洞总量与实际在野遭利用漏洞数量对比

在当前的演进格局下，有两大深层结构性风险值得我们保持高度警惕：

第一大风险是攻击行为的失控外溢扩散。前述 PaperCut 案例中的 AI 智能体直接抛弃了操作员预设的地理围栏白名单，而在另一个实验室受控环境中，约 1200 个原本完全隔离的智能体甚至自发摸索出了协作串联的方式，其中约 700 个智能体擅自加入了未经任何人授权的协同攻击行动。正如 NotPetya 当年造成的最惨重损失全部属于误伤外溢一样，AI 智能体行为的不确定性极易打破预设边界。

第二大风险是多点并发聚合共振：国家级攻击能力向更多平民化实体的大规模扩散，将让过去仅能对付低级黑客的防御方彻底沦陷，这包括偏远地区的微型供水系统、农村电力合作社以及县级基层医院。高度协同的多点并发攻击，尤其是那些旨在进行纯物理破坏、直接格式化系统的恶意雨刷（Wiper）代码，完全有可能将无数个分散的局部小故障在短时间内聚合升级为区域性重大突发公共危机。

今年 10 月欧洲多国发生的一系列针对实体设施的连环袭击，已经为我们敲响了警钟。黑客同时操纵了数百家法国大型超市的商用冷藏控制系统，恶意调高温度甚至蓄意纵火导致大批生鲜腐烂；三周之后，比利时、卢森堡、瑞典和爱沙尼亚的多家超市相继遭遇了同类手法的袭击，部分冷冻柜温度被直接强行篡改设定为 50°C。

法国国家安全机构此前早就明确向运营商发出过警警示，敦促其彻底将这些老旧控制器从公网上切断下线，并警告称这些缺乏后续技术支持的设备即便恢复出厂设置也依然千疮百孔。尽管该案尚未被证实有 AI 的直接参与，但其展现出的攻击范式极具代表性：同一夜之间、多国同时爆发、跨越成百上千个实体据点。

第二波攻击所暴露的问题更是切中本篇研报的核心要害：整整三周的前置警报时间，根本不足以让线下的实体维护团队完成现场抢修。对于那些必须依赖人工逐个网点跑现场才能完成修复加固的物理设施而言，线上哪怕把漏洞通报发布的速度提升到以秒为单位，对缩短线下的实际处置周期也毫无助益。

长尾绞杀：不再有任何机构因弱小而免于受害

这场技术洗牌所造成的创伤，在社会各层级之间的分布将极不均匀。那些长期依赖网络安全学者 Murphy 和 Stone 所形容的“看似理性的心理侥幸（即坚信高级攻击者根本懒得在自己身上浪费时间）”过活的长尾中小机构，如今将被 AI 以极其廉价的成本重新拖回被攻击的绞肉机中。在 PaperCut 攻击事件中，半数受害机构是公立中小学；而在物联网安全机构 Claroty 针对 351 家医疗机构展开的调研中，整整 89% 的联网医疗设备本身就带着已知在野遭利用的高危漏洞，且长期暴露在缺乏防护的互联网连接中。攻击者根本无需去破解一台核磁共振（MRI）机内部复杂的成像算法，他只需要让这台机器无法正常开机，就足以让一家医院的运转彻底瘫痪。

图：勒索软件受害机构通报数量持续激增而实际赎金支付总额逐步下滑

全球黑产资金流向的变化已经清晰印证了这一历史性转向：勒索软件数据泄露暗网站点上公布的受害者企业数量同比暴增了超过一半，而黑客最终实际收到的赎金总额却下滑到了约 $8.2 亿。袭击数量暴涨、入账金额反降：极低成本的自动化渗透让黑客的大网全面罩向了过去无人问津的小微受害者，而这部分长尾受害者绝大多数根本无力支付高昂赎金。Verizon 报告显示，勒索软件在中小微企业安全事件中的占比高达 88%，而在大型企业中仅占 39%。获取内网访问权限的黑市价格同样断崖式贬值：Chainalysis 数据表明，罪犯在黑市上购买一个受害者企业内网访问凭证的平均价格，已经从 2023 年初的约 $1427 暴跌至 2026 年初的仅需 $439。

我们明确预期，勒索攻击的盈亏平衡点将全面向下沉市场击穿，深入到牙科诊所、县级市政机构和微型制造加工厂。攻击者在攻破系统后，甚至无需指望受害者掏钱赎回，直接在黑市转卖内网凭证或窃取的商业隐私便足以盈利；而国家级黑客与极端行动主义者更是无需考虑商业回报便能白嫖这套廉价武器。与此同时，开源组件的高度同质化带来了极强的风险强相关性：通用底层代码中的单一漏洞，瞬间便能让成千上万家企业同时面临裸奔。随着纯粹旨在毁灭系统的破坏性攻击日益猖獗，单纯统计勒索赎金金额早已无法衡量真实的社会损失。一个毁灭性的雨刷程序从不索要一分钱赎金，我们更应当紧密追踪受害者总体数量的激增以及业务被迫停摆的持续时长。

图：全球医疗保健行业遭受勒索攻击频次与平均业务停摆周数走势

医疗机构所面临的停摆危机最直观地展现了这种长尾代价。即便在生成式 AI 全面入场之前，遭遇勒索软件打击的医院其平均核心业务停机时间就长达两至三周，而在 2018 年至 2024 年间全球医疗系统遭遇的确认攻击次数激增了整整 6 倍。计入暗网泄露平台的未证实数据，2024 年与 2025 年针对医疗机构的袭击案维持在每年约 440 起的高位，而 2026 年仅前九个月的攻击总数便已追平了过去整年，第三季度更是创下了单季 192 起袭击的历史新高。灾后恢复也在变得愈发困难重重：攻击者在加密主生产数据库的同时，正专门优先绞杀备份系统以阻断受害者自行恢复。如果数据备份遭到彻底抹除，过去数周的业务中断将直接延长至数月之久。

长尾生态绝非唯一承受剧痛的阵地。安全暴露面永远跟随着一切无法以机器级速度实现自动热更新的存量系统，无论其所有者账面上拥有多么雄厚的预算壁垒。而在天平的另一端，则静静坐落着极少数一旦失窃便足以引发全行业地震的超级标靶。币安交易所最终将其在 10 月 29 日遭遇的黑客洗劫定性为高达 $63.4 亿的世纪损失，初步调查显示攻击正是穿透了核心工程师的工作机并窃取了签名特权凭据。在案发数小时内，两家头部借贷协议被迫紧急冻结了黑客用于套现的市场，全网直接引发了高达 $6.28 亿的杠杆爆仓强平。就在同一天，一个被黑客暗中植入后门的恶意仿冒 Claude Code 扩展插件在 Cursor 官方插件市场中挂牌长达约 11 个小时，悄然侵入了多达 5000 名核心软件工程师的开发机并试图预埋 SSH 远程后门。Cursor 随后紧急下架了该插件并全面重构了插件市场的安全准入机制，但该恶意代码究竟是如何成功绕过审核上架的，至今依然谜团未解。

突围分水岭：谁能靠打补丁脱困，谁不能

面对速度以机器级演进的攻击者，行业最本能的肌肉记忆是要求防守方进一步加快打补丁的节奏。这种策略在某些特定架构下确实行之有效，但在另一些体系中却完全是痴人说梦，这两者之间的天然分野，本质上取决于单次软件更新所需要付出的经济与运维代价。

图：不同类型系统的修补成本与停机风险矩阵

由此带来了两条截然不同的命运分叉：机器级秒速热修补，仅仅在那些更新成本极低且回滚容错成本同样极低的领域才能成立：由服务商在云端集中托管的多租户 SaaS 软件、能够在后台静默无缝更新的现代移动端操作系统与网页浏览器、以及部署在大型超算网络平台边缘能够以统一规则实时拦截攻击的高可用反代集群。然而在那些更新意味着必须彻底中断实体工业流水线、必须让关键医疗设备重新接受极其严苛的监管准入认证、或者甚至连设备主人都不知道公网连接物理存在的世界里，所谓快速修补根本无从谈起。

不仅如此，即便利益各方拼尽全力，修补的速度在物理现实中也存在着不可逾越的致命天花板。如果每一项微小安全补丁都要求在数分钟之内全量推送到核心服务器，这种疯狂的高频变更本身就会演变为巨大的自杀式停机灾难：2024 年 7 月，安全巨头 CrowdStrike 仅仅因为推送了一次带有缺陷的底层更新，便在瞬间导致全美及全球约 850 万台 Windows 终端陷入蓝屏死机，全球航空交通瘫痪长达数天。当补丁推送频率跨越某个临界点之后，防守方为了免受黑客攻击而采取的修补动作，自身就会直接蜕变为亲手制造的长周期意外停机。对于处于坐标轴右下角的所有关键实体基础设施而言，终极的安全防线必须彻底从被动等待修补代码，转向通过端到端的网络拓扑隔离、精细化分段控制以及边缘强阻断手段，让漏洞在物理层面上根本不可被公网触达，并确保在最坏情况下依然保留可靠的手动机械应急底线。这套纵深防御体系该如何具体落地，正是我们下一期研报将要深入展开的核心主题。

未来沙盘：验证我们预判的核心指标计分卡

图：AI 时代网络安全攻防核心指标未来两年走势计分卡

研判修正：出现哪些信号将推翻我们的论断

技术演进的真实轨迹在未来两年之内就将水落石出，所有的核心验证指标在公网中全部是公开透明且可实测核验的：

指标一：在野被利用漏洞总数。VulnCheck 在 2025 年监测到的实际被利用漏洞约为 880 个。如果截至 2027 年底该数值依然保持在 1200 个以下，则证明怀疑论者是正确的，成本暴跌并没有带来现实攻击的大爆炸；反之，若该数值一举突破 2000 个大关，则意味着漏洞武器化成本的彻底坍塌已经不可逆转地降临。作为参考坐标，若将历史上 6% 的传统平均转化率套用在 2025 年新增的公开漏洞总量上，理论上应该对应着约 2900 个被利用漏洞，相当于每天发生整整 8 起全新在野利用。

指标二：漏洞公布当天的实际在野利用比例。在 2025 年，整整 29% 遭到在野攻击的漏洞在官方 CVE 编号发布当天甚至更早便已遭遇打击。如果到 2027 年这一比例飙升至半数以上，则意味着防守方在理论上的“修补时间窗口”在进攻端已经被彻底单方面关闭。

指标三：企业修复漏洞的耗时中位数。Verizon DBIR 报告记录的当前行业中位数为 43 天。如果在其 2028 年度的报告中该数字成功压降至 30 天以内，则证明防守体系在 AI 赋能下成功完成了自动化自我改造；反之如果该周期被进一步拖长至 60 天以上，则证明整个社会的防御端已经彻底被抛离在时代车尾。

指标四：由 AI 自主发现的漏洞在野被恶意利用的比例。截至目前，由 AI 自动化挖掘出的全新漏洞中仅有 1.3% 最终在野外被黑客武器化。如果在 2027 年底之前该比例依然牢牢压制在 5% 以下，则表明 AI 在漏洞挖掘上的红利更多地被防守方用于了提前筑牢城墙，而非被进攻方抢先滥用。

指标五：遭受勒索打击的受害群体下沉广度。勒索暗网平台公布的受害名单在 2025 年刷出了历史新高。如果未来这一受害名单总数持续激增、而受害者实际支付的总赎金规模却持续走低，便彻底证实了我们的核心论断：黑客正在凭借廉价的自动化攻击能力，大举向下沉市场中无力支付赎金的中小长尾机构发起无差别扫荡。

指标六：实体工业基础设施的物理破坏事件。大规模的跨国物理破坏如今已经在缺乏明确溯源的情况下实实在在地发生了：10 月份数百家法国超市在一夜之间同时丧失制冷温控，11 月 1 日另外四个欧洲国家的门店接连中招。如果截至 2027 年底这一系列针对物理设施的袭击依然没有任何一起被确证归咎于 AI 自动化工具操盘，则证明在重资产工业控制体系中，“掌握系统漏洞”与“真正制造实体物理破坏”之间依然隔着一道难以逾越的鸿沟。

指标七：纯毁灭性攻击与经济勒索攻击的结构比例。如果截至 2027 年，旨在直接格式化抹除数据或物理损毁设备的重大安全事件在全网攻击中的占比显著飙升，则意味着彻底抛弃经济收益顾虑的无约束攻击者已经全面入场，仅凭传统的勒索赎金统计指标将严重低估真实世界的综合损失。

长达 23 年的攻防实证历史告诉我们：单靠软件漏洞修补本身，防守方绝对不可能跑赢进攻者的进化脚步。当年的微软尚且能够通过重构 Windows 系统，在短时间内一举庇护全球大半个互联网；而今天，世界上没有任何单一科技巨头能够凭一己之力抗下这所有的烂摊子。我们对未来局势的核心研判是：2026 年并不会演化为一场科幻电影般的全球网络毁灭战，它更像是一个漫长、昂贵、极其折磨人的大蠕虫时代的序幕。这把达摩克利斯之剑将终日悬在每一个缺乏大型云平台庇护的长尾受害者头顶，并死死锁定在极少数价值高到连云平台本身都值得被暴力拆解的皇冠明珠之上。