AI让漏洞发现门槛骤降，厂商与白帽的协作成为生死线
TREE NEWS 报道， 硬件钱包制造商Ledger的首席技术官Charles Guillemet发出严厉警告：人工智能和大语言模型已大幅降低了发现与利用软件漏洞的门槛。过去安全研究人员需要数周才能完成的工作，如今通过数小时的提示词操作即可实现。这意味着从漏洞被发现到被利用的时间窗口正在急剧缩短，而厂商与研究人员之间的协同披露（coordinated disclosure）从未如此关键。
从数周到数小时：全新的威胁格局
Guillemet的言论反映了整个加密行业正在面临的现实。智能合约、钱包软件和跨链桥协议都建立在复杂的代码库之上，一个微小的缺陷就可能导致数百万美元被盗。过去，发现这类漏洞需要深厚的专业知识、人工审计，以及一定的运气。如今，AI工具甚至能让经验不足的参与者快速识别可疑模式、生成漏洞利用代码片段，并以规模化方式扫描已知漏洞类别。这种漏洞研究的“民主化”是一把双刃剑：一方面，它让白帽黑客能更快地发现并报告问题；另一方面，它也极大降低了恶意攻击者的侦察与攻击成本。
对加密企业而言，影响深远。正式审计固然重要，但已不能再作为一次性的检查点。持续监控、响应迅速的漏洞赏金计划、以及健全的事件响应预案，正成为基本要求。Guillemet强调，协同披露——研究人员私下向厂商报告问题，并允许在公开披露前部署修复——是防止混乱的关键。如果缺乏这种协调，AI加速的漏洞利用可能超越补丁部署的速度，导致针对资金雄厚项目的零日攻击激增。
对生态系统的启示
对于用户而言，应谨慎对待新的或未经审计的协议，即使是那些打着AI旗号的项目。对于开发者来说，需要将安全性融入到开发生命周期中，并将披露渠道视为产品的重要组成部分。监管机构也在密切关注：随着AI工具日益普及，安全研究人员与恶意黑客之间的界限变得模糊，负责任披露的法律框架可能需要更新。
展望：AI防御与AI攻击的赛跑
Guillemet的警告是一个行动号召。行业必须投资于能够匹配AI攻击速度的AI防御工具。我们可能很快就会看到自动化漏洞修复、AI辅助形式化验证和实时威胁情报共享成为标准做法。能够蓬勃发展的项目，将是那些把安全视为动态、协作过程而非静态审计报告的项目。在AI时代，协同披露不仅是一种礼貌，更是一种生存机制。
