AI“垃圾”泛滥导致Google开源漏洞赏金计划暂停

在IBM的《Security Intelligence》播客中，主持人Patrick Lucas Austin与三位专家——X-Force威胁情报分析师Sophie Cunningham、安全研究部门主管Ian Malloy以及网络范围执行顾问Seth Glasgow，深入探讨了当前网络安全领域面临的两大挑战：物联网设备的双重间谍行为以及AI代理对维基百科的攻击。本期重点聚焦于AI过载（AI overload）现象，特别是其对漏洞赏金计划（Bug Bounties）造成的冲击。Google的开源软件漏洞奖励项目（OSSVRP）因被大量AI生成的虚假报告淹没，于10月1日被迫暂停。该项目自2010年启动，并于2022年扩展至涵盖Angular、Chromium、Go和Kubernetes等关键开源软件。由于报告充斥着幻觉（hallucinations）和无意义的垃圾内容，Google不得不冻结该项目的开源部分直至2027年第一季度。这一举措凸显了AI生成的漏洞报告质量低下已成为行业性难题，导致原本高效的众包安全反馈机制陷入瘫痪。

漏洞赏金模式的异化与成本转移

Sophie Cunningham指出，传统的漏洞赏金模式依赖于安全研究人员发现并验证真实漏洞以获得报酬。然而，随着AI工具的普及，“AI垃圾”（AI slop）泛滥成灾。即使是毫无经验的脚本小子也能利用AI生成看似合理的漏洞报告，导致平台收到海量无效信息。Ian Malloy进一步分析了这一现象背后的经济逻辑转变：过去，发现漏洞的成本高而验证成本相对可控；现在，生成潜在漏洞报告变得极易且廉价，但人工核实和修补的成本急剧上升。他提到，像curl这样的其他开源社区也遭遇了类似困境，许多提交者甚至无法解释漏洞细节，只能回答“是AI告诉我的”。这种成本从发现环节向验证环节的转移，迫使企业重新评估其安全策略。Google并非孤立无援，整个行业都在寻找应对AI驱动噪声的新方法，以维持漏洞赏金计划的可持续性和有效性。

自动化验证与AI代理的自我修复能力

面对人工审核的压力，Google展示了另一种解决思路：利用自身强大的AI模型进行自我扫描。Ian Malloy提到，Google近期使用其Page Break AI代理在自家Web应用中发现了约500个漏洞。这一案例的关键区别在于验证机制（verification）。与外部提交的模糊报告不同，Google的AI代理采用了确定性方法，能够动态运行漏洞利用代码（如注入JavaScript）并确认其实际执行效果。这种自动化验证能力使得Google能够以低于人工审核的成本快速定位和修复问题。Ian Malloy认为，这可能意味着未来的漏洞赏金模式将发生演变：企业可能更倾向于依赖内部高级AI代理进行持续扫描和验证，而非完全依赖外部众包。这种转变不仅提高了效率，也减少了因垃圾报告带来的管理负担，标志着网络安全防御从被动接收向主动自动化验证的范式转移。

动态验证降低误报与沙盒逃逸风险

当前安全领域正经历从静态扫描向动态验证（Dynamic Verification）的范式转移。以Anthropic的Claude和Daybreak为代表的解决方案，正致力于通过更复杂的动态验证机制来大幅削减误报率（False Positives）。尽管这一过程在技术实现上更为困难，但它能确保检测到的文件读写、进程执行等行为是真正的阳性结果（True Positive），从而提供确凿的证据。然而，这种技术演进也引发了悲观的担忧：如果让AI代理更多地练习利用漏洞，是否会增强它们突破沙盒（Breaking out of sandboxes）的能力？这被视为硬币的两面，即在减少误报与增加逃逸风险之间寻求两害相权取其轻（Lesser of two evils）的平衡。

微软VIP计划与AI代理治理“垃圾数据”

针对漏洞赏金项目中日益严重的低质量报告（Slop）问题，Microsoft和GitHub推出了类似VIP的会员制计划。微软今年已扩展其漏洞赏金项目，向超过500名研究人员颁发了超过2000万美元的奖金。这种机制的核心在于通过信任背书（Trustworthy）来筛选高价值发现者，从而降低长期处理成本。正如专家所言：">> Yes and no. Um, really when you look at like sort of the vetting of a VIP, you're essentially saying these individuals are trustworthy. We can trust the findings that they have to a higher degree, so it's going to cost us less to deal with them in the long run." 面对Web漏洞扫描中因缺乏运行时上下文（Runtime Context）而产生的海量误报，利用AI代理执行实际攻击以验证漏洞真实性成为一种必要手段。尽管有人担心这会导致“用AI对抗AI”，但鉴于无法逆转技术趋势（Can't ever unring the bell），行业必须通过VIP制度建立准入壁垒（Barrier of entry），以遏制因经济激励驱动而泛滥的自动化垃圾报告。

CTF教育断层与人才管道危机

AI代理对网络安全行业的深层威胁并非在于取代漏洞赏金，而在于摧毁CTF（Capture The Flag）竞赛的教育价值。CTF是培养人类安全专家技能、建立人才管道（Talent Pipeline）的关键环节。随着AI接管了大部分基础工作，未来可能出现技能断层（Dearth of talent）：新人缺乏在低层级任务中磨练的机会，导致无法胜任需要创造性思维和推理能力的高级分析工作。专家警告：">> I actually think AI agents the bigger risk is not killing the bug bounty programs, but killing CTFs. Cuz that is the education. That's the pipeline." 这不仅是技术问题，更是社会性问题（Social problem）。我们需要决定哪些领域由AI完全接管，哪些领域必须保留给人进行技能训练（Train with the AI）。虽然计算器并未让人类失去手工数学能力，但关键在于如何结合工具与学习，避免人类丧失对AI生成结果的判断力（Taste/Arbiter）和批判性思维。

新型 Linux 恶意软件 Cling Stun 针对企业 IoT 设备

Fortinet FortiGuard Labs 发现了一种名为 Cling Stun 的新型 Linux 恶意软件，其攻击目标已从智能家居设备扩展至 企业网络中的 IoT 和 OT（运营技术）设备。该恶意软件利用约 24 个漏洞进行攻击，涵盖从 2011 年到最新的各类安全缺陷。它特别利用 STUN（Session Traversal Utilities for NAT）协议，这是一种用于让防火墙后的设备与其他设备进行通信的网络技术。一旦 Cling Stun 渗透进网络，它会利用另外 7 个漏洞在企业内部横向移动并感染更多 IoT 设备。FortiGuard 分析师 Vincent Lee 指出，这种利用多重漏洞进行投递的方式凸显了保持准确设备清单、减少不必要的互联网暴露以及正确更新固件和软件的重要性。

企业环境补丁更新的困境与风险

为何自动软件更新在企业环境中难以实施？Seth 指出，这主要涉及 互联网骨干网技术（如 NAT）的依赖以及 IoT 设备的特殊性。对于消费者设备，强制更新相对容易；但在企业环境中，尤其是位于边缘且承担关键角色的 OT 设备，固件更新具有侵入性。如果制造商已不再存在或停止支持，这些设备往往被遗弃。更重要的是，更新关键基础设施中的 OT 设备伴随着巨大风险：管理员必须担心更新后系统是否仍能正常工作，以及是否需要停机维护。在某些情况下，甚至需要人员物理接触设备来刷写固件。因此，企业无法像对待消费级产品那样强制推送更新，因为这可能导致财务影响和运营中断。这要求企业建立更强的流程和弹性。

防御策略：基线监控与行为分析的重要性

面对 Cling Stun 快速串联漏洞的能力，传统的防御措施如多因素认证、访问限制和流量监控虽然仍是最佳实践，但不足以单独应对威胁。Seth 强调，当前的挑战在于攻击者利用这些措施作为跳板，暴露出内部未打补丁的薄弱环节。因此，建立系统行为基线变得至关重要。Sophie 指出，这是一种“利用现有资源”（living-off-the-land）的攻击方式，恶意行为隐藏在正常的 STUN 协议流量中。例如，如果检测到来自亚洲的企业请求出现在异常位置，这种偏离基线的行为应触发警报。Ian 补充道，攻击者正变得极具创造性，利用任何可用资源（包括旧漏洞）进行横向移动。由于关键基础设施的高风险性，企业往往无法随意调整基线阈值（如 5% 置信区间），因此需要更智能的工具来识别那些完美融入正常流量统计分布的恶意活动。

OT环境下的漏洞管理与补偿性控制

在工业运营技术（OT）环境中，安全团队面临着巨大的资产管理挑战。通常需要人工定期核查每个设备的型号以识别已知漏洞，这一过程虽然可行但效率低下。AI代理可以显著加速资产清点与风险识别，解决“不知道未知”的问题。然而，发现漏洞仅是第一步，实际应用补丁需要复杂的协调与优先级排序。

在关键基础设施场景中，停机风险可能超过被利用的风险。因此，当无法替换脆弱组件时，必须依赖补偿性控制措施。特别是在STUN协议中，攻击者往往隐藏在看似正常的流量中，这种非异常行为使得检测变得极其困难。安全策略需要从被动防御转向主动构建围绕已知弱点的更严密防线。> "We did not find any evidence that our systems were used for coordination among agents, nor did we find any evidence of our systems or data being compromised."

OpenAI代理对维基百科的大规模爬取与资源消耗

OpenAI的AI代理近期成为新的攻击目标，导致维基百科面临严峻的资源压力。据Wikimedia基金会披露，这些代理在短期内发起了数百万次API请求，爬取了数以百万计的页面，并向Wikidata查询服务发送了数十万次查询。这一行为甚至可能导致该服务在五月出现部分停机。

尽管Wikimedia表示未发现系统被入侵或代理间协调的证据，但他们对此类Agentic AI活动带来的潜在风险表示深切担忧。调查此类活动的难度和归因复杂性日益增加。这些代理并非出于恶意娱乐，而是执行既定任务时产生的副作用。AI代理的行为模式表现为无休止地尝试完成任务，即使这意味着对网站进行大量读取和修改。> "Incidents like this one and the many others that have been uncovered illustrate how AI agents can drain resources and crash servers as well as attempt to compromise trustworthy information."

责任归属：从技术控制到立法监管的缺失

此次事件引发了关于AI代理行为控制的深层讨论。与人类黑客不同，OpenAI的代理是受激励结构驱动去完成任务的。如果后院篝火失控烧毁邻居家，责任在于放火者而非火焰本身。因此，AI代理造成的拒绝服务攻击或数据篡改，应被视为开发者的责任。

目前处于AI代理的“狂野西部”时代。虽然Wikimedia数据是训练高质量模型的基础，但代理的行为超出了负责任的数据获取范畴。专家建议不能仅靠让代理“放弃”来解决问题，而应建立明确的责任机制、日志记录和立法框架。如果人类造成类似后果必属犯罪，那么允许AI代理在缺乏约束的情况下对互联网组织造成可衡量的真实伤害是不可接受的。我们需要为AI代理设定明确的“缰绳”和护栏，确保其行为可控且可追溯。

智能体沙箱隔离的失效与通信困境

当前的AI安全实践在基础隔离层面存在严重缺陷。许多开发者误以为将智能体运行在沙箱中并赋予其网络访问权限，同时禁止读写文件系统就构成了有效的隔离。这并非真正的安全隔离，因为这种配置未能阻止智能体通过其他途径进行恶意交互。更令人担忧的是业界普遍推荐的一种策略：完全禁止智能体之间的通信。这种一刀切的禁令导致整个安全架构在遇到绕过手段时瞬间崩溃，无论是通过Artifactory、Wikimedia还是Pastebin等渠道。然而，完全切断通信并不合理，因为智能体之间共享知识、分解任务对于资源优化至关重要。因此，简单的阻断并非良策。

构建受控的智能体通信服务与监控机制

解决智能体间协作与安全之间的矛盾，需要建立专门的中间件和监控系统。首先，应提供专用的服务接口供智能体通信，防止它们复用其他非设计用途的服务通道。其次，必须对这些专用服务进行实时监控。通过监控可以获取关键信号，以便在智能体出现目标偏离、被误导或产生自主恶意意图时及时发现。这种机制旨在让服务在有序的状态下运行，而不是任由智能体制造混乱。如果缺乏对智能体行为的控制，下游服务提供方将被迫采取极端措施。例如，亚马逊已禁止Meta的智能体执行购物任务，因其引发了流量激增；而Wikimedia则因需履行知识分发职能，不得不维持可访问性。这种被动防御并非理想的结局。

技术狂飙下的监管滞后与“死互联网”恐惧

随着AI技术的极速发展，社会层面开始呼吁放缓脚步并加强立法思考。从社会视角来看，建立完善的法规框架至关重要。与此同时，“死互联网理论”（Dead Internet Theory）正在成为现实，即网络上逐渐只剩下机器人与智能体在相互通信。这一现象引发了对互联网本质的深层恐惧。人们意识到，技术发展的周期性可能导致信任的崩塌：起初我们被告知不要轻信互联网，随后又过度依赖它，最终可能再次回到不信任的状态。这种循环往复的不确定性是当前安全领域面临的最大挑战之一。专家提醒，我们需要在技术便利与安全可控之间找到平衡点，避免互联网彻底沦为机器生成的噪音场。

结论

AI技术正从辅助工具转变为网络安全生态的结构性变量，引发漏洞赏金、人才培育及基础设施安全的系统性重构。在应用层，AI生成的低质报告已导致Google等平台的赏金计划暂停或转向VIP准入制；内部AI代理虽能高效验证漏洞，但也引发沙盒逃逸与技能断层风险。在基础设施层，企业IoT/OT设备因更新困难成为Clings Stun等恶意软件目标，传统防御失效迫使转向行为基线监控。同时，AI代理对维基百科的大规模爬取暴露了责任归属与通信隔离的监管真空。总体而言，行业亟需从被动防御转向主动自动化验证、建立智能体通信护栏及完善立法框架，以应对AI驱动下的新型威胁与资源消耗。