多年来，应用安全一直基于一个常见假设：发现漏洞后，组织有时间评估风险、开发或获取补丁、测试补丁，并在攻击者利用该漏洞之前完成部署。
人工智能正让这一假设变得越来越危险。
AI正在加速漏洞发现、侦察、漏洞利用开发和攻击自动化。随着这些能力日益成熟，攻击者能够以更快的速度识别并利用弱点，而传统安全和开发流程在设计之初就未考虑应对这样的速度。在某些情况下，漏洞尚未公开披露，利用活动就已开始。
“组织必须持续改进补丁管理流程，同时也需要在无法立即获得永久性修复方案时，采取措施保护应用和API。”
这带来的影响远不止需要更快地部署补丁。当修复漏洞所需的时间可能远远超过攻击者利用漏洞所需的时间时，组织必须重新思考如何保护应用和API。我在支持点播的线上活动F5 Post-Mythos Security Summit中，通过“后Mythos时代的WAAP”这一专题演讲深入探讨了这个话题。
正如我在专题演讲中所讨论的，应对这一问题，首先要认识到即时防护与永久修复是两项不同的挑战。随着修复漏洞所需时间与攻击者利用漏洞所需时间之间的差距持续扩大，安全负责人应从以下三个方面重新审视应对策略。
1. 认识到风险暴露缺口已成为结构性问题
安全团队多年来一直致力于改进漏洞管理并加快补丁部署。这些努力仍然至关重要。但组织在确保安全的前提下修改应用和基础设施，其速度存在根本性限制。
补丁必须经过评估、测试和部署。开发团队必须考虑应用依赖关系、运行稳定性，以及紧急修复可能引入新问题的风险。对于跨多个环境管理数千个应用的企业而言，这些流程不可避免地较为复杂。
与此同时，AI也在改变攻击者一方的形势。
随着漏洞发现和利用的自动化能力不断增强，攻击者能够以机器速度展开行动，而防御方仍受开发周期和运营要求的制约。即使是效率极高的安全组织，也无法仅靠要求团队加快工作速度来消除这种差距。
这造成了结构性的风险暴露缺口。漏洞可能早在组织能够安全部署永久修复措施之前，就已具备可被利用的条件。随着AI持续发展，这一缺口可能变得更难管理。
安全负责人必须面对的问题，不再只是如何加快补丁部署，还包括在无法及时部署补丁时，如何保护所在组织。
2. 防护与修复所需的时间不同
应对这一挑战需要转变思路。传统上，漏洞管理主要侧重于修复：识别漏洞、确定修复优先级，并尽快消除漏洞。但漏洞可能在补丁发布前就遭到利用，因此组织不能让防护完全依赖于修复。
组织需要将修复与防护分开。永久性修复解决底层漏洞，而即时防护则侧重于在修复过程中阻止攻击者利用该漏洞。
对于业务关键型应用，这一区别尤为重要。仓促将未经测试的补丁部署到生产环境，可能带来额外的运营风险。然而，遵循既定的变更控制流程而推迟部署，也可能使组织面临攻击风险。
虚拟补丁提供了一种应对这一困境的方法。通过在存在漏洞的应用之外实施防护控制，组织可以阻止已知的漏洞利用手法，而无需立即修改底层代码。
需要注意的是，虚拟补丁不能替代漏洞修复，也无法消除所有可能的攻击路径。其价值在于，在开发和安全团队完成永久修复所需工作的期间，降低风险暴露程度。
换言之，组织需要具备应对眼前威胁的能力，而不必每次发生安全事件都紧急发布应用版本。这就需要从架构层面着手保护应用。
3. 架构必须弥合差距
当威胁的演变速度超越应用开发和部署周期时，防护必须能够独立于这些周期运行。
这正是现代Web应用和API防护（WAAP）（https://www.f5.com/solutions/web-app-and-api-protection）发挥日益重要作用的地方。通过在应用数据路径中提供安全控制，WAAP可帮助组织在恶意活动触及存在漏洞的应用之前，检测并阻止这些活动。Web应用防火墙、API安全、机器人防御和DDoS缓解等功能可提供相互补充的多层防护。
这种架构具有显著优势。组织不一定要等到应用代码修改后才能实施防护措施，从而为开发团队留出更多时间来调查漏洞并实施永久性修复。
但这一挑战正变得更加复杂。
如今的应用环境已不再局限于传统Web应用。企业日益依赖API、AI驱动的应用和自主智能体，这些技术带来了新的交互方式、依赖关系和潜在攻击面。与此同时，借助AI增强的攻击也让安全团队更难区分恶意活动与正常流量。
仅仅增加安全规则或生成更多告警并不是可持续的解决办法。防护必须更加智能，具备更强的自适应能力，同时不能让安全团队不堪重负，也不能干扰正常的业务活动。
因此，准确识别威胁、尽可能减少误报并实施适当防护的能力变得日益重要。这也进一步凸显了对一种能够跨应用和环境提供一致防护的架构的需求。
归根结底，组织无法仅靠增加人员或加快现有流程来解决以机器速度演进的安全问题。组织需要一种旨在保护应用的架构，在底层系统跟上之前为应用提供保护。
观看我的专题分享，了解补丁修复跟不上时如何实施防护
AI正在从根本上改变漏洞发现、利用和修复之间的关系。组织必须持续改进补丁管理流程，同时也需要在无法立即获得永久性修复方案时，采取措施保护应用和API。
在我于F5 Post-Mythos Security Summit上进行的“后Mythos时代的WAAP”专题演讲中，我探讨了现代WAAP如何帮助组织应对这一新现实。我演示了AI驱动的防护和虚拟补丁如何帮助组织在边缘应对漏洞，而无需等待应用代码变更。我还探讨了如何将这些能力融入更广泛的防护策略，以保护应用、API和AI，应对日益复杂的威胁。
如需观看我的演讲，请在此注册。
关于作者
.jpeg)
Nirav Shah现任F5高级副总裁兼产品与解决方案营销负责人，负责制定应用安全和AI安全的战略方向。加入F5之前，他曾在Fortinet任职11年，担任过多个领导职务，其中主要负责AI驱动的SASE、SOC和安全网络解决方案。他还拥有丰富的Cisco Systems任职经历，曾牵头推进SD-WAN重大计划。凭借20多年的网络安全行业经验，他在推出具有市场影响力的产品、打造高绩效团队，以及推动产品开发与销售和营销协同以扩大影响力方面拥有出色履历。作为行业思想领袖和南加州大学校友，他经常在行业会议上发表演讲，并定期为知名出版物撰写有关AI与网络安全融合的文章，同时致力于指导新一代网络安全专业人士。
Nirav Shah 的更多博客文章相关博客文章
WAF和API发现技术在保护智能体AI应用中的作用
智能体AI系统的功能和集成会在运行时快速变化。要以同样的速度保障其安全，需要通过API发现和Web应用防火墙（WAF）实施切实可行的控制措施。
