GTIG数据揭示：AI时代漏洞披露翻倍

漏洞披露翻倍，但真正的威胁只有0.23%

Google Threat Intelligence Group（GTIG）发布首份关于AI如何改变漏洞格局的完整数据集。最抓眼球的数字是翻倍：2026年1月披露了5,045个漏洞，到8月已变成10,740个。

但真正值得关注的不是这个标题数字，而是分母。GTIG记录到2026年1月至8月间共有141个漏洞被披露且被实际利用——这一数字已超过2025年全年的127个——但这仅占所有披露漏洞的0.23%，大约431个里只有1个。每周涌现数千个新CVE，攻击者真正触碰的只有几十个。

这个差距正是情报驱动分类处置的核心论据。GTIG明确指出，原始披露量存在严重膨胀：“如果没有威胁情报上下文，2026年的原始披露量可能会产生误导。开源生态系统中自动化的CNA编号策略会推高基线数字。”一个典型案例是：描述中包含“Linux Kernel”字样的漏洞在2026年1月至8月间产生了约5,000个CVE，但观察到被在野利用的零日漏洞数量为零。如果按照数量来打补丁，你面对的是一条被厂商自己的编号流程推高的曲线。

风险评级视角也印证了这一点。高风险披露从2026年1月的131个飙升至8月的350个，增长167%，但仍只占所有披露的3%。两股力量推动了这一峰值：TOTOLINK针对消费级路由器固件的大规模研究披露（4-5月的75个高风险漏洞），以及Oracle季度CPU加Linux内核网络驱动安全公告（仅8月就有128个高风险，占当月高风险总数的近37%）。披露的世界很大，大部分是噪音；高风险那一小片才是可行动的。

CVE 与 CNA 机制：CVE（Common Vulnerabilities and Exposures）是全球漏洞的公共编号体系，每个漏洞分配一个唯一标识符，便于跨厂商、跨工具追踪。CNA（CVE Numbering Authority）是被授权自行分配 CVE 编号的机构，包括各大厂商、开源基金会和第三方研究组织。问题在于，不同 CNA 的编号标准并不统一：有些组织只要代码变更涉及安全相关逻辑就分配 CVE，有些则在提交合并前批量预分配。这正是文中“自动化 CNA 编号策略推高基线数字”的含义——编号数量反映的是流程激进度，而非真实攻击面的扩大。

零日（0-day）与 n-day 的区别：零日指厂商尚未发布补丁、公众尚不知晓的漏洞，攻击者利用时具有信息不对称优势。n-day 则指已有公开补丁或披露的漏洞，但大量系统未及时修复。传统上零日被视为最高威胁，但文中数据显示 n-day 的武器化速度正在急剧加快，AI 工具使得从补丁差异分析到可工作利用代码的转化周期大幅缩短。理解这一区别是理解“被利用漏洞向上集中”的关键。

被利用的漏洞向上集中

2025年平均每月10.5个漏洞被利用，2026年1月至8月升至每月18个。GTIG的构成分析揭示了增长真正所在：“2026年1月至8月漏洞利用增长的主要来源集中在n-day的快速武器化。”零日利用仅小幅上升——从每月8个到11个，8月曾飙至22个——而高风险利用则从2025年的28个翻倍至2026年前8个月的75个。

零日在被利用漏洞中仍占62%，这看似反直觉：n-day利用增长更快，但零日仍是实际观察到的大多数。自2026年5月以来，两条曲线开始同步移动——利用增长（指数化+127%）与披露增长（指数化+128%）齐头并进，“与整体漏洞格局同步扩展，而非超越它”。

这一比例颠覆了通常的威胁模型直觉。增长来自已披露漏洞的快速武器化，GTIG推测这恰恰是因为AI使其变得更便宜：“威胁行为者发现，使用LLM和AI工具自动分析产品版本差异、补丁、漏洞披露公告和PoC代码来快速武器化n-day，比发现新零日更容易或更高效。”n-day利用如今是一个差异分析和打包问题，而这是AI能大幅压缩的劳动类别。

AI发现的漏洞类型不同，市场随之而动

数据集的第三个发现最直接指向该领域的未来：AI辅助发现能找到更多漏洞，且漏洞的“画像”不同。在GTIG能识别为可能由AI发现的漏洞中，低风险发现降至39%（传统发现为69%），中风险升至58%（传统为28%），而最惊人的数字是——AI发现漏洞中恰好50%导致远程代码执行，而整个生态系统中这一比例为26%。

GTIG的解释是结构性的：AI代理被设计用于导航核心C/C++库、运行时和虚拟机监控程序中复杂的多步语义代码路径，瞄准内存损坏和逻辑缺陷。用GTIG自己的话说，“AI模型擅长识别传统静态分析器持续遗漏的内存损坏（缓冲区溢出、释放后使用）和逻辑绕过。”换句话说，自动化正瞄准真正导致RCE的缺陷类别，因为钱在那里。这一发现中嵌入的警告是CVE-2026-1731，BeyondTrust特权远程访问中的一个未认证OS命令注入，由第三方研究代理自主发现：披露后四天内就有威胁集群利用它，七天内另有五个集群在进行后利用，包括权限提升、数据窃取和SNOWLIGHT、SPARKRAT及挖矿程序等次级载荷。

当加入GTIG关于针对AI栈本身的漏洞数据时，这个令人不安的循环闭合了：2025年1月至2026年8月期间累计2,076个AI相关CVE披露，其中2026年就超过1,500个，集中在编排框架（782个，占所有AI相关缺陷的一半，激增347%）和推理/服务基础设施（212个）。驱动更快、更高危发现的同一技术，本身就是增长最快的攻击面——GTIG明确警告这种双线暴露对应着“复杂对手积极寻求利用的确切缺陷类型”。

远程代码执行（RCE）与内存损坏：RCE 是漏洞利用的最高影响类别之一，攻击者可在目标系统上以受害进程权限执行任意代码。内存损坏类缺陷——缓冲区溢出、释放后使用（use-after-free）、越界读写——是 RCE 的主要来源，长期存在于 C/C++ 编写的核心库、运行时和虚拟机监控程序中。传统静态分析器因需在精度与误报率之间权衡，往往难以覆盖多步语义路径，而 AI 代理可以遍历更深的调用链和状态空间，这正是 GTIG 观察到 AI 发现漏洞中 50% 导致 RCE 的结构性原因。

AI 栈攻击面：编排框架（如 LangChain、AutoGen 等）负责调度模型调用、工具执行和状态管理，推理/服务基础设施（如 vLLM、Triton 等）负责模型加载与请求分发。这两层直接暴露 API 和管理接口，且大量部署缺乏认证或使用默认配置。2,076 个 AI 相关 CVE 中编排框架占 782 个、激增 347%，说明攻击者正将 AI 栈本身视为高价值目标——既能窃取模型和数据，也能劫持推理过程。

分类处置的新落脚点

防御处方直接从数据中写出：按利用风险分类，而非按补丁数量。单月10,740个披露、被利用比例0.23%，没有任何团队能按数量打补丁；控制点是基于威胁情报的分类处置，结合靶向边缘防御和数据表明风险集中处的自动化修复。GTIG自己的建议是“从无优先级的大规模打补丁转向威胁情报驱动的分类处置，将靶向边缘防御与自动化、代理化修复相结合”，并在内部对AI代码进行发布前审查，让缺陷在进入披露世界之前就被修复。

边缘设备的数字为分类处置提供了具体起点。边缘和安全设备中的漏洞占被利用漏洞的14%，超过65%的被利用边缘缺陷达到高/严重威胁风险评级，对手“积极瞄准未认证的公共管理接口”。如果要在接下来一小时里选择投入方向，那就是这一片：结合高严重性和未认证可达性的边界设备——这正是本博客从NVIDIA基础设施控制器披露中得出的管理平面教训，如今由聚合数据而非单一公告所支撑。

数据集的诚实局限与其发现同样重要，GTIG也明确说明：公共CVE仓库仍缺乏统一的AI归因元数据，因此AI发现数据是部分的，“AI发现漏洞的确认利用表明，AI发现缺陷带来的风险增加并非纯理论”只是一个早期指标，而非已确立的趋势。把50%的RCE数字当作方向性信号。但方向在所有表格中是一致的：数量膨胀，被利用的切片向上集中，AI发现的缺陷类别正是攻击者已经在追猎的那些。这就是未来一年的分类处置地图。

原文发布于Netics博客。

威胁情报驱动的分类处置（Intelligence-Driven Triage）：核心逻辑是用外部情报判断哪些漏洞已被实际利用或在野活跃，优先修复这些，而非按 CVSS 分数或披露数量排序。具体操作包括：订阅被利用漏洞列表（如 CISA KEV）、关联自身资产暴露面、对边缘设备管理接口做可达性审计。GTIG 建议的“靶向边缘防御”指对边界设备（VPN、防火墙、路由器管理界面）实施更严格的访问控制与快速修复，因为数据显示 14% 的被利用漏洞集中在这些位置，且多数具备未认证可达性。

代理化修复（Agentic Remediation）：指用 AI 代理自动完成补丁识别、依赖分析、测试和部署，压缩修复窗口。这与攻击者用 AI 武器化 n-day 形成对称竞争——防御方同样需要自动化来跟上节奏。GTIG 还建议在发布前对 AI 生成代码做安全审查，将缺陷拦截在披露世界之外。