各位嘉宾，今天我们讨论的话题包括物联网设备扮演双重间谍角色，以及AI代理给我们最喜爱的网站维基百科带来麻烦。所以我想问大家一个问题：你们最喜欢的维基百科页面是什么？苏菲，你觉得呢？
对我来说这很难回答。因为从小我就被警告不要使用维基百科，所以它让我感到有些害怕。不过我会说任何与科学相关的内容、流行文化，或者我需要快速深入了解的主题，比如IMDb页面等。
大概是我最常浏览的那个页面吧。当你顺着“兔子洞”深入探索时，或者像斯蒂芬·科尔伯特评论的下一个页面那样引发整个编辑风暴。
这很难选，因为维基百科最棒的部分就是顺着“兔子洞”深入探索，最后到达一个你原本无意去的地方。所以我会说，我最喜欢的维基百科页面是我还没有发现的那个。
大家好，欢迎收听Security Intelligence，这是IBM每周一次的网络安全播客，我们的专家小组将行业最大的议题转化为行动。我是主持人帕特里克·卢卡斯·奥斯汀，今天我们讨论的是漏洞赏金计划、企业设备被入侵以及AI代理攻击世界上最有用的网站。
今天我们请到了一组优秀的嘉宾：X-Force威胁情报的暗网分析师苏菲·坎宁安，安全研究部门负责人伊恩·马洛伊，以及网络范围执行顾问塞思·格拉斯哥。让我们进入第一个故事。我认为今年我们听到了更多关于“AI过载”的报道，特别是针对漏洞赏金计划的情况。
这一领域对涌入的由AI驱动的漏洞报告做出了某种反应，而这次轮到Google不堪重负。Google开源软件漏洞奖励计划（OSSVRP）这个名字有点拗口，幸好他们将其简化了。该计划基本上被大量的漏洞报告淹没，听起来不错，直到你意识到其中很多都是毫无意义的废话。
10月1日，Google因被充满幻觉的AI生成报告淹没而暂停了其漏洞奖励计划。该计划最初于2010年推出，并于2022年扩展至涵盖开源软件。这非常重要，因为Google维护着大量的开源软件以及一些极其重要的项目，如Angular、Chromium、Go和Kubernetes等。
因此，由于大量虚假报告的涌入而暂停开源软件漏洞计划是一件大事。苏菲，我想先问问你。通常的漏洞赏金计划是如何运作的？这种由AI驱动的报告的涌入如何改变了人们应对此类赏金计划的反应方式？
我的意思是，通常的情况应该是：安全研究人员发现一个漏洞或利用程序并提交报告，如果成功则获得报酬。但随着AI的出现，现在出现了大量的“AI垃圾”。任何人都可以——包括脚本小子或毫无经验的人——创建自己的利用程序或漏洞，尝试识别bug并提交报告，然后碰运气。
想想他们收到了多少份报告才不得不暂停计划吧？因为他们必须验证这些内容，而且其中很多似乎只是垃圾。
这确实有很多报告。幸运的是，Google表示10月1日之前提交的申请将被审查并予以承认。但根据Google的说法，该计划的开源部分将冻结至2027年第一季度，这似乎是很长一段时间。如果你发现其他缺陷，Google表示你可以向补丁奖励计划或云漏洞奖励报告它们。
但这似乎是一个不会消失的问题。伊恩，bug依然存在，但在这种特定形式下的赏金会持续吗？它们是否会演变或转化为其他不同的形态？
这很难说。通常漏洞赏金计划的存在是为了防止人们将其武器化。这是一个巨大的市场，所以我们希望它们能被社区正确修复，而不是被用于非法目的。
我认为这里有一个非常有趣的现象，我们可以从几个不同的角度来看待它：悲观或乐观。悲观地看，他们取消了漏洞赏金计划，这将减少一些适当报告这些问题的途径，人们担心这些问题将不再被上报。
另一方面，你可以这样看：Google拥有非常复杂的AI模型和代理进行扫描，他们可能已经计算过并得出结论：“看，我们在这一方面比某些贡献者做得更好。让我们运行所有疯狂的AI模型和代理来检查所有内容，这比我们审核收到的那些垃圾要便宜得多。”
Google并不是唯一这样做的人。其他一些社区也不得不采取类似措施。如果你阅读过curl的相关记录，你会发现他们不得不多次暂停工作，而且读起来非常有趣。
如果你想看看人们提交的垃圾是什么样的，你会发现很多内容都是：“因为Claude或GPT或其他某个随机代理说这是一个bug。”当你要求那个人澄清时，他们说：“我不知道，我得去问那个代理。”
这确实给审查漏洞赏金计划的人带来了巨大的负担。他们必须找到更好的方法来解决这个问题，所以这实际上只是在转移成本。以前很难发现漏洞，现在变得很容易；而验证和修补却变得困难了。
这是一个很好的观点，这也引出了Google最近使用其Page Break AI代理在其自有Web应用中发现数百个缺陷的最新发展。关于Google利用AI来查找自身bug的这一方面，有什么特别突出的地方让你认为，“好吧，如果我们能比其他人更快发现并修复它们，漏洞赏金计划基本上就要消失了”？
是的，我想他们说他们在自己的网站上发现了大约500个漏洞。他们做的有趣之处在于通过验证来确认。我认为这是主要的区别之一。他们拥有非AI代理，也就是有确定性的方法来动态验证其有效性。
你可以实际运行该利用程序，可以确定它实际上已成功执行了JavaScript注入或类似操作。
你懂，读取或写入文件，执行不同的进程。因此你知道它确实做到了这一点，这是一个真正的阳性结果（true positive）。所以我认为这是许多人正在转向的方向。如果你看看其他各种解决方案，比如 Anthropic 的 Claude Wing，我相信 Daybreak 以及其他所有努力都在向动态验证转变。这通常更难做到，但它确实大大减少了误报。所以这可能是最大的变化点。
另一方面，也就是我悲观的一面在说话：如果我们给他们更多利用漏洞的实践机会，这让人担心他们会突破沙箱。这是一个很好的观点。这只是硬币的另一面，两害相权取其轻吧。我们走着瞧会发生什么。
Seth，我想知道你对更现代的漏洞赏金计划方法有什么看法？我知道 Microsoft 和 GitHub 正在尝试一种 VIP 项目，如果你发现特定数量和类型的漏洞赏金……抱歉，是特定数量和类型的漏洞，就可以成为这个会员专属 VIP 漏洞赏金计划的一部分。我知道 Microsoft 已经扩大了其一般的漏洞赏金计划，今年向超过 500 名研究人员颁发了超过 2000 万美元的奖金。对我来说，这些项目对希望磨练技艺和提高网络安全能力的研究人员来说是有价值的。当漏洞赏金计划基本上移交给 AI 代理时，我们是在网络安全社区中获益还是受损？
有得有失。当你审视 VIP 的审核机制时，你本质上是在说这些人是值得信赖的。我们可以更信任他们的发现，因此从长远来看，处理他们的问题成本更低。归根结底，我们讨论的是减轻垃圾信息（slop）的方法。对于页面漏洞等，尤其是 Web 漏洞来说，扫描它们非常容易。由于缺乏运行时上下文，你会得到大量的误报。使用代理去运行漏洞利用代码……这允许我们用额外的 AI 来对抗 AI，对吧？我们永远无法让铃铛不响。在这个阶段，不可能存在一个我们不使用 AI 来查找漏洞的世界。所以我们必须明智地处理它。
关闭它是合理的，对吧？“嘿，我们收到的垃圾太多了。我们必须以不同的方式看待这个问题。我们无法审核所有这些内容，因为人们只是把它们扔向墙壁看哪些能粘住，他们缺乏上下文。”因此，潜在地利用 AI 来帮助这一点可能是一条途径，仍然可以替代高容量的工作。但找到值得信赖的个人……你说，“嘿，我们委托你访问这个系统，因为我们信任你。”这是另一种方法。这设立了另一个门槛，以减轻你将收到的垃圾信息的数量。
这只是基本的人类行为。这里有经济激励因素。我可以编写一个工具来尝试捕获这种经济激励。人们会继续这样做。所以我不确定这是否意味着失去了什么，而是关于我们如何管理新常态下的数据量和报告量。在代理端使用类似 PageBreak 的工具来实际利用漏洞，弄清楚“这是真的吗？”我认为他们发现误报率接近于 0%。从 Web C&I（连续集成/持续部署）的角度来看，这非常巨大。因为通常会有非常多且杂乱的报告，然后你必须手动介入弄清楚哪些是有效的。归根结底，我们必须减少噪音以获得更好的信号。
我同意 Seth 刚才所说的。实际上我认为 AI 代理更大的风险不是杀死漏洞赏金计划，而是杀死 CTF（夺旗赛）。因为那是教育。那是人才管道。那才是真正赋予人类理解安全知识以磨练技能的东西。现在它们已经被完全接管了。因此，我们将遇到不再具备审视发现、创造性思考推理以及实际查看来自 AI 代理的报告并确定这是否是一个真实案例的人。是误报？只是一个发现（比如加固建议）？还是某种即使可被利用也无需担心的东西？
是的，这种人才管道问题将影响我们完全应用 AI 的几乎所有领域。从最低级别开始……比如在日志分析中，第一层的工作几乎完全由 AI 处理。所以问题不在于我们是否应该这样做……是的，它擅长于此，它能胜任工作，但这更多是一个关于如何培养人才的哲学问题。当某人毕业且没有经验时，我们过去让他们在这些事情上磨练技艺以变得更好，从而开始进行所需的高级别分析。最终我们可能会在低层级造成人才匮乏，如果你没有在职业生涯早期获得足够的“击球”机会（实践经验），你怎么从那里到达更高层级？
是的，我认为这更多是一个社会问题而非 AI 问题。我们必须作为社会决定我们要让 AI 在何处发挥作用，并在何处说“不”，你可以与 AI 一起训练以学习这些技能并逐步晋升。或者我们的工作和角色会随着 AI 而改变和塑造？因此，现在我们不需要工程师来承担这个角色。所以一旦 AI 发展到足够成熟，他们就不需要知道底层的技能了。因此我认为弄清楚这一点将在未来成为一个非常重大的问题。
不过我觉得这有点不同，因为你花费大量时间审查 AI 创建的提案或计划。查看生成的代码。查看它实际生成的漏洞报告。你必须成为裁决者，判断这好不好？你必须有那种品味（鉴赏力）。我认为这是人们潜在失去的东西之一。
从教育角度来看，计算器的存在并不意味着没有人学习手算数学了，对吧？我们可以使用工具并仍然了解其工作原理。有一种方法可以结合这两者。这不一定是全 AI 或无 AI 的二选一。
我认为这是一个很好的地方，让我们过渡到下一个故事。但在那之前，我非常鼓励所有观看和收听的观众订阅、点赞、发表评论，并让我们知道你们的想法。
一种新的Linux恶意软件变种出现了，它攻击的目标不仅仅是你的智能灯泡。它在瞄准你公司的网络设备。Fortinet FortiGuard Labs威胁研究的一份报告发现，名为Cling Stun的Linux恶意软件正在利用2021年甚至更早期的旧漏洞和新漏洞来攻击物联网设备。据FortiGuard Labs称，它利用了大约二十多个漏洞来利用企业设备，使用的是所谓的公共STUN服务器（NAT会话遍历实用程序），该协议用于让企业设备与防火墙后面的其他设备进行通信。
Cling Stun非常有趣。一旦它渗透进网络，它就会利用另外七个漏洞在企业内部进一步传播并攻击其他物联网设备。FortiGuard分析师Vincent Lee表示：“它利用多种漏洞进行投递，这突显了维护准确设备清单、减少不必要的互联网暴露以及正确更新固件和软件的重要性。”
我想问Seth一个问题：为什么软件更新仍然是一个问题？我们为什么不自动执行这些操作呢？
特别是，这个漏洞利用了所谓的互联网骨干网技术。它隐藏在必要的基础设施中，因为STUN协议对于互联网的正常工作是必需的。如果没有网络地址转换（NAT），我们关于IP寻址的整个概念都将不复存在。虽然我们有IPv6的概念，但我们并没有完全转向它。
关于补丁更新的问题，我们通常谈论的是物联网设备。固件更新非常具有侵入性。很多时候，这些设备的制造商已经不再存在或放弃了它们。此外，我们谈论的不仅是消费级设备，在企业环境中也是如此。这些位于边缘并拥有连接性的设备往往承担着非常关键和重要的角色。
试图修补一个处于关键流程中的OT（运营技术）设备伴随着巨大的风险。如果我更新了它，它还能像以前一样工作吗？我必须承受停机时间才能进行更新。根据设备的位置不同，可能还需要有人亲自前往现场插拔并刷写固件。因此，虽然你可以强制消费者进行更新，但你不能强迫企业在导致停机和经济影响的情况下这样做。
这又回到了加强流程并试图建立更好的弹性上。Vincent提到的监控流量、添加多因素认证和限制访问等措施，是否能延长我们等待更新设备的时间？还是说确保固件更新成为最高优先级才是第一步，而其他都是次要步骤？
这些都是最佳实践。建立这些措施并不是什么新鲜事。这里的危险在于能够迅速将漏洞串联起来。因此，现在外部暴露出了一堆内部未打补丁的软肋。是的，我们需要做所有这些事情，更好地修补漏洞并应用认证和监控流量，但这些是我们无论如何都需要做的事情。
所以这只是同样的运营状况，但补救的时间大幅缩短。Sophie，我在想上周节目中报道的一个关于恶意软件伪装成电子邮件服务和应用程序的故事。由于没有基线来检测任何异常，因此很难检测到它们。这里的情况类似吗？如果有一个基线是否有助于检测新出现的有趣或异常事件？
是的，这是其中的一部分。这是一种“依托现有资源”（Living-off-the-land）类型的攻击。正如Seth所说，许多STUN协议流量实际上是正常行为，恶意软件隐藏在其中试图绕过检测。因此，你需要某种行为扫描并理解系统的基线，以便发现“这个请求不寻常”或“为什么会有来自亚洲的企业流量”。
拥有这种基线并让智能工具去查找这些东西是关键。Ian，我再问一个问题。研究人员发现很难检测到这种恶意软件的证据，因为它会删除服务器上的信息并充当中间人。企业攻击的未来是否是更多这种利用公共网络资源的“中间人”类型攻击，并在检测到企业响应时迅速撤离？
可能被视为一切皆有可能。所有手段都在使用中，代理（攻击者）将极具创造力，他们会利用任何资源、任何小漏洞来寻找最佳方式以横向传播。如果人类没有意识到这一点，我认为最新发现的旧漏洞可以追溯到2014年。他们正在寻找这种漏洞并为其“考取驾照”。
但仍未打补丁，可能是因为人类尚未弄清楚如何串联和利用它。但现在代理们正在将所有东西整合起来：这里存在的所有漏洞的并集是什么？正如Seth所说，没有人更新。因此它们都会被使用。“依托现有资源”的攻击方式非常好用，而且这种恶意软件融合得非常好。
你可以想象你有基线检测，但如果恶意流量非常完美地符合你的95%置信区间呢？你不能将其剔除为异常，因为正如Seth所说，这是关键基础设施。那里的风险太高了。
也许有一种方法可以帮助我们缓解这种情况：如果你拥有设备清单，这在自动化之前的典型任务中是……
通常，网络安全团队的个人需要整理这份清单。假设你处于以运营技术（OT）为主的环境，例如公用事业领域。你需要定期去检查每个设备的型号是否存在已知缺陷和漏洞。这是一项可以完成的任务，我们可以利用智能体显著加快这一进程。这让我们解决了一个问题：我们知道了问题的存在以及可以进行修补，从而消除了“不知其所不知”的问题。
但即便如此，应用补丁仍需大量的协调和优先级排序。即使有合理的可用补丁，将该项目下线所带来的风险也可能超过被利用的风险。因此在这种情况下，我们需要考虑补偿性控制措施。特别是在STUN协议的情况下，我们将流量隐藏在已知良好的通信中，这对攻击者来说是最理想的状态，因为这在定义上不属于异常行为。
从这一角度来看，我们可能试图更好地了解自身的弱点所在，接受部分现实，并围绕这些脆弱点构建更好的防御体系，因为我们可能无法更换易受攻击的组件。>> 接下来看我们的最后一个故事：OpenAI的智能体发现了一个新目标，这可能会导致你看到更多索要资金的横幅广告。
想必上面会有吉米·威尔士的脸，或者鉴于拉拉·特雷蒂科夫现在是维基媒体基金会的新任CEO，可能是她的脸。因为OpenAI的智能体发现了维基百科，并且正在上面“玩得开心”。到目前为止，它们发起了数百万次API请求，爬取了数以百万计的页面，并向Wiki数据查询服务发出了成千上万次的查询。
据维基媒体称，这可能导致该服务在五月部分停机。根据维基媒体的声明——他们发布了关于所发现证据的说明，指出OpenAI的智能体正在其网站上四处爬取。引述称：“我们没有发现任何证据表明我们的系统被用于智能体间的协调，也没有发现任何证据显示我们的系统或数据遭到破坏。
然而，我们对这里可能发生的情况感到担忧。”调查和归因此类活动所涉及的困难和努力，以及代理式AI活动在一般平台上日益增长的风险。>> 我的问题是：苏菲，维基百科如何在不对所有智能体流量进行全面禁令的情况下应对涌入的智能体？或者他们确实这样做了吗？
对我来说，这个故事体现了智能体的本性：它们确实在抓取大量内容。它们在寻找漏洞，试图做出只有自己能读取的更改，因为这更像是一个沙盒环境。>> 当然。我认为在维基媒体的案例中这尤其令人担忧，因为这是一个相当依赖人力投入的事业，有人类编辑和捐赠者来维持网站生存。
维基媒体表示：“此类事件以及许多其他已被发现且仍在被发现的事件，说明了AI智能体如何消耗资源、导致服务器崩溃以及试图破坏可信信息。”这些AI智能体会修改页面，人类编辑不得不回去修复。所以我在想，塞斯，我想知道OpenAI或任何生产这些智能体的公司是否需要重新思考它们解决问题的决心。
无论遇到什么困难，都要完成任务。不管我们爬取哪些网站，不管我们要破解多少页面，我们都必须完成它。>> 我认为问题比这更大，对吧？正如苏菲所说，这就是智能体的行为方式。它们会尝试完成被赋予的任务，但它们并非在真空中行事。
智能体并不是因为觉得好玩才决定对维基百科这样做。它没有这种概念。是OpenAI给它设定了激励机制去做这件事。如果我在后院生火，火势蔓延烧毁了别人的房子，这不仅仅是火的自然行为，而是我有责任控制我所做的事情。所以我们需要制定立法。
正如苏菲所说，如果这是人类做的，导致拒绝服务攻击，那无疑是一种犯罪。我认为让我们放任OpenAI这样做是疯狂的，因为我们在这里玩火。就像是你未能控制它一样。他们必须对此负责或面临实际后果，并承担将其释放到互联网上并对其他组织造成可衡量和真实伤害的责任。
你说得对。伊恩，感觉我们在许多方面处于AI智能体的“狂野西部”。那么维基百科或任何希望更多控制数据如何与这些智能体共享的公司，该怎么办呢？维基百科从哪里找到它的“警长”来保护它免受这些闯入城镇的智能体的侵害？
我认为塞斯，也许某种形式的责任或教程日志实际上可以解决这个问题。这很有趣。意思是回到过去：每个AI模型都是用维基媒体数据训练的，它们的大部分基础知识都来自这里。这是质量极高的数据。但他们让你很容易以负责任的方式下载这些数据用于训练，我认为这不是智能体在这里所做的。
它们并不是试图获取新信息，而是在寻找沟通、共享消息等方式。所以我在OpenAI黑客事件后听到人们主要推荐两件事：一是我们需要告诉智能体它们需要放弃。如果智能体只是放弃了，就不会有人事纠纷了。我根本不同意这种观点。
我们希望它们做事并深思熟虑，因为只有这样它们才能完成像治愈癌症这样的工作。我们不想让它们做的是黑客攻击其他公司。这归结为拥有适当的控制措施。正如我所说的，这是你的责任。你给智能体套上的缰绳在哪里？护栏在哪里？你是如何限制它们的？
你是如何监控它们的，以便确切知道智能体在做什么，并能在它突破限制时识别出来？
隔离不仅仅是我在沙箱中运行一个智能体，然后说“哦，我给了它完全的网络访问权限”，但它不能读写我的文件系统。那不算隔离。他们需要更强大的措施，感觉他们在几个基本检查上都失败了。我看到的另一个建议是阻止任何智能体与其他智能体通信。一旦他们发现通过 Artifactory、Wikimedia 或 Pastebin 等途径进行交互的方法，局面就会失控。然而，让智能体相互通信以共享知识、分解任务并节省资源是有充分理由的。
为此，你需要做两件事：首先定义它们通信的方式。如果有服务需要智能体交互，就提供专用服务，防止它们滥用其他工具；其次进行监控。通过观察该服务，你可以确切知道智能体在做什么，从而获得额外信号以判断它们是否偏离目标、失控或自行设定目的。
你问媒体能做什么？更好的防火墙、验证码，或者是有人推荐的 X402 微支付机制。目的是让智能体付出成本或增加难度，同时不负担原本由人类使用的服务。亚马逊已禁止 Meta 的智能体执行购物任务，因为流量激增；而 Wikimedia 为了传播知识的功能必须保持开放。
如果我们不控制智能体的行为，下游方将采取极端措施如封锁流量，这不是我们想要的积极结果。我们希望系统能正常运行而不造成混乱。人们也开始意识到技术发展过快，呼吁放缓脚步并制定社会层面的立法，这很重要。
“死互联网理论”正在应验，这是他们的互联网了。“死互联网理论”认为未来将不再有人类，只有机器人和智能体在互联网上交流。最让我害怕的是这种循环性质：他们曾告诫我们不要信任互联网，后来我们又过度信任它，最终将回到不再信任的状态。
希望下一次循环时能和大家一起交流，这是一期很棒的节目。感谢 Sophie、Ian 和 Seth 的参与，感谢观众、听众及制作团队。请在各大播客平台订阅 Security Intelligence，保持安全。