补丁窗口期已经结束。了解F5如何为未来挑战做好准备。

Kunal Anand首席产品官 | F5

FFmpeg中有一行代码，自动化模糊测试工具已对其测试约500万次。然而，其中一个存在了16年的缺陷始终未被发现，也没有任何工具将其标记出来。随后，Anthropic使用其新推出的Claude Mythos Preview模型分析该代码库。该模型阅读代码，推断代码的预期用途，并发现了这一缺陷。它还在各大主流操作系统和浏览器中发现了数千个此前未知的漏洞，其中OpenBSD中的一个漏洞已存在27年。OpenAI等公司也在构建同等能力。

这并非某一家供应商独有的突破。

这是软件安全的底层规律发生改变的时刻。

至关重要的数学原理

Sergej Epp的零日时钟基于来自CISA KEV、VulnCheck KEV和XDB的3,515组CVE与漏洞利用程序配对数据，用4个数字揭示了关键信息：

1. 2018年，从漏洞披露到首次观测到漏洞利用的时间中位数为771天。组织有两年多的时间安装补丁。
2. 到2023年，这一时间窗口已缩短至6天。
3. 到2024年，这一时间窗口已缩短至4小时。
4. 2025年，许多遭利用的漏洞在公开披露前就已被武器化。

与此同时，一般组织测试和部署补丁仍需20天。大多数组织每月只能修复约10%的新漏洞。仅靠加快补丁部署速度无法弥合这一差距。按季度不行，按月不行，实际上，即使按周也不行。

这笔账怎么算都不对。

为何AI让攻方占据优势

AI加速攻击的速度之所以快于防御，背后有着更深层的原因，每位安全负责人都应了解这一点。

在网络安全领域，攻击方拥有成本最低的验证机制：漏洞利用是否成功？答案非此即彼，而且立刻可知。要么成功获取shell，要么没有。机器学习可以利用这类信号不断增强攻击能力。

防御方面面临的问题恰恰相反。这个警报是真的吗？这个系统安全吗？反馈模糊、缓慢且成本高昂。信号噪声多，反馈闭环失效。AI在验证信号清晰的一方表现更好，因此，AI辅助漏洞利用的产业化速度快于AI辅助防御。

这正是Mythos数据背后的结构性事实。Anthropic并未打造武器，只是一个通用前沿模型的代码阅读能力已足够强，从而使验证环节的不对称性进一步向攻击者倾斜。

每一家构建前沿模型的实验室都会跨过这一门槛。根据当前能力曲线所处的位置，我预测（这只是推测，但也是我目前采用的规划假设），未来12个月内将出现具备Mythos级代码推理能力的开源模型；任何拥有GPU的人都能在本地运行这些模型，且无需监督。

必须做出哪些改变

每家软件供应商和企业安全团队都应围绕这一时间表开展规划。那么，哪些方面必须改变？

代码测试方式：静态分析和定期渗透测试适用于漏洞发现缓慢且成本高昂的时代。如今，情况已截然不同。测试必须转向持续开展、由AI驱动并基于推理的模式。模型需要追踪执行路径、串联流程并找出漏洞利用链，而不只是发现孤立的缺陷。模式匹配只是基本要求，推理能力才是衡量标准。

我们的代码开发方式：安全不能再只是开发流程末端的一道关卡，而必须融入代码编写过程，借助AI辅助工具在提交前标记高风险代码结构。

我们分发代码的方式：漏洞披露时限、更新频率和设备群管理实践，都是按照过去较慢的节奏制定的。每家软件供应商都需要认真审视：在漏洞利用早于安全公告出现的环境中，现有流程是否仍然适用。

这适用于尚未发布的代码。同样棘手的问题是，如何处理已投入生产环境的代码。真正的转变正是在这里发生，而F5也正是为引领这一转变而打造。

运行时才是答案

补丁窗口关闭后，流量路径仍然存在。这并非后备措施。在新的考量方式下，它才是主要控制手段。

运行时保护扭转了验证不对称的局面。它不再追问代码库中某处是否存在假设性缺陷，而是观察应用的实际行为，并在行为偏离预期时进行干预。信号具体明确，反馈清晰。攻击者可能在代码中发现上千个零日漏洞，但只要漏洞利用无法通过数据路径，该漏洞就不会演变成安全事件。

30年来，F5始终深耕数据路径领域。F5 BIG-IP、F5 NGINX和F5 Distributed Cloud Services，也就是F5 Application Delivery and Security Platform，正是为这一层而构建。在代码无法及时修补的时代，我们所做的架构决策，即在流量经过之处保护应用，尤为重要。如今，我们在AI流量管理和运行时安全方面开展的所有工作，都是将这一决策延伸到客户当前构建的工作负载中。

我们如何处理自己的代码

我们也在从另一个方面着手。作为日常运营实践的一部分，我们使用前沿AI模型分析自己的代码库。

模型直接读取源代码，跨模块和编程语言追踪高风险流，并根据实际实现细节进行推理。第二轮验证会区分有效信息与噪声。系统根据CWE映射、严重性评级、文件和行号引用以及可利用性背景对发现的问题进行分类，并将其直接纳入按优先级排序的修复流程。

目标并非发现孤立的缺陷，而是揭示利用链、确定关键问题的优先级，并根据发现加固代码。每轮测试都会构建知识库，让下一轮测试更快、更精准。随着前沿模型能力不断提升，我们运用这些模型的方式也会同步改进。我们将始终使用先进的现有工具和模型测试代码库，因为攻击者使用的正是这些工具和模型。

成本，以及由谁承担

我想直接说明这对客户意味着什么。

披露更多漏洞并不意味着软件变得更薄弱，而是表明流程更加完善。我们抢在攻击者之前发现并修复的每个缺陷，都能减少生产环境中的一个暴露点。但每次修复也意味着需要有人部署相应补丁。在生产环境中运行BIG-IP的人员将看到更多补丁，过去按季度进行的更新周期已无法继续维持。我们正在投资F5 Insight和设备群管理，以缩短整个闭环：由我们发现、修复并验证问题，再由您部署修复。若部署需要时间，流量路径会在代码完成更新前持续保护应用。”

最后一个分句浓缩了整个论点：

1. 抢在攻击者利用漏洞之前发现漏洞。
2. 在漏洞利用手段被武器化之前更快修复。
3. 在代码修复完成前提供运行时保护。

这三个领域只有协同配合才能发挥作用，缺一不可。

新常态

从现在起，软件安全将以这种方式运作。这不是一场专项行动，也不是针对某个模型发布所采取的应对措施。补丁窗口已经关闭，不会再重新开启。

一些公司会把这视为一场只需熬过去的短期挑战。只有接受这已成为新常态，并持续在代码层和流量层围绕这一现实重构的公司，才能蓬勃发展。

F5正在为新常态构建解决方案，客户也同样如此。我们将携手推进这项重要工作。

关于作者

Kunal Anand首席产品官 | F5

Kunal Anand担任首席产品官，负责领导F5产品组织。他负责产品愿景、战略和执行，推动开发突破性解决方案，以应对关键挑战，并为客户打造卓越体验。在此前担任首席技术与AI官期间，Kunal制定了公司的技术与AI战略和愿景。 加入F5之前，Kunal曾在Imperva同时担任首席技术官和首席信息安全官。2018年，Imperva收购了他于2013年联合创立的应用安全初创公司Prevoty，他也由此加入Imperva。在加入Prevoty之前，他曾担任BBC Worldwide技术总监。Kunal拥有深厚的创新经验和技术专长，曾在Gravity、MySpace和NASA Jet Propulsion Lab担任领导职务，负责安全、数据、技术和工程团队。 Kunal在AI和机器学习领域拥有超过15年的经验，涵盖模型训练、运用AI驱动的算法增强产品，以及设计和实施AI架构。 Kunal拥有Babson College计算机科学理学学士学位。

Kunal Anand 的更多博客文章