智能体漏洞威胁：企业补丁流程已落后

Mark Do 暂无评论 2026年6月1日阅读 62 次

智能体漏洞威胁：企业补丁流程已落后

严峻现实：AI驱动的漏洞利用正在改变安全格局

2024年，伊利诺伊大学的研究人员发现，当GPT-4接通常见漏洞和暴露(CVE)描述时，能够自主利用精选的15个”一日漏洞”数据集中87%的漏洞。而没有描述信息时，其利用能力骤降至7%。这一发现为行业提供了一定的”安全缓冲”，因为虽然AI能够利用已知漏洞，却难以自行发现新漏洞。

然而，4月7日，Anthropic公司宣布Claude Mythos Preview已彻底消除这一缓冲区。该模型自主发现了操作系统和浏览器中的数千个零日漏洞。此外，Mythos在CyberGym漏洞复制基准测试中得分高达83.1%。在一次针对OpenBSD的攻击行动中，历经1,000次测试构建，总计算成本不足2万美元。

漏洞利用时间线急剧压缩

Langflow的CVE-2026-33017(CVSS 9.8)漏洞在披露后20小时内就被利用，且没有公开的漏洞证明概念。Marimo的CVE-2026-39987(CVSS 9.3)漏洞从披露到被利用仅用时9小时41分钟。

大多数企业依赖的防御基础设施并非为此类威胁设计。Rapid7的2026年威胁态势报告指出，从CVE发布到美国网络安全和基础设施安全局(CISA)已知被利用漏洞(KEV)列表的中位时间为5天。Google的M-Trends 2026报告则发现，漏洞利用甚至在补丁发布前就已发生。当Langflow漏洞公告发布时，首个攻击在20小时内出现；Marimo公告发布后，不足10小时就被利用。

三层漏洞优先级过滤系统取代单一CVSS评估

多数漏洞管理程序仍仅依据CVSS分数进行优先级排序。CVSS量化的是漏洞的”理论”严重性，未考虑漏洞是否已被实际利用或被武器化的速度。一个CVSS 8.8且存在活跃利用历史(如Docker的CVE-2026-34040)的漏洞，可能优先级低于CVSS 9.8但从未被实际利用的漏洞。

一项最新研究通过对28,377个真实世界漏洞的验证，提出了具体替代方案：结合CISA KEV状态、利用预测评分系统(EPSS)分数和CVSS的三层决策树，形成统一的优先级过滤系统。

三层漏洞优先级过滤系统

层级	数据来源	阈值	行动	服务等级协议
1. 实际利用中	CISA KEV目录	已列入	立即修补	小时级
2. 预测可能被利用	EPSS(FIRST.org)	分数≥0.088	升级至0级流程	24小时
3. 严重性基准	CVSS(NVD)	分数≥7.0	常规修复	按政策执行

验证结果：效率提升18倍，覆盖85.6%已利用漏洞，紧急修复工作量减少约95%。所有三种数据源均开放且免费。

上述系统完全可实现自动化。可以编写脚本查询CISA KEV API、FIRST.org的EPSS API和NVD，并让脚本针对每个发布的CVE运行在您的资产清单上。在此过程中，人类应作为审批者参与循环，但不应作为触发点。

消除智能体授权差距

快速生成攻击工具不仅改变了补丁优先级的确定方式，也影响了所有拥有特权凭证的智能体驱动系统的控制配置。您的授权策略尚未针对AI智能体的行为进行评估，这已成为可衡量的风险。CVE-2026-34040显示，Docker的授权插件架构在请求体超过1MB时会静默绕过所有插件。常见的AuthZ插件(OPA、Casbin、Prisma Cloud)无法识别此类绕过，因为绕过发生在Docker的中间件层，请求到达插件之前就已发生。

当Cyera演示此漏洞时，他们展示了一个AI智能体在完成合法任务的同时，能够推断出绕过路径，无需任何利用指令。

互联网工程任务组(IETF)正在为智能体制定授权模型。由AWS、Zscaler、Ping Identity和OpenAI参与者于3月发布的draft-klrc-aiagent-auth-01文件，提议使用当前的面向每个人的安全生产身份框架(SPIFFE)和OAuth 2.0，让AI智能体获取动态配置的短期凭证。

另外，IETF的智能体身份协议草案(draft-prakash-aip-00)报告指出，在约2,000个 surveyed 模型上下文协议(MCP)服务器中，没有任何服务器具有身份验证功能。

但这些标准尚需数月甚至数年才能实施。目前，安全团队必须主动将智能体级别的测试场景纳入所有授权边界，如超大请求请求、突发频率和特权请求的多步骤升级等。

映射您的凭证爆炸范围

根据CSA/Zenity进行的调查，4月16日发布的数据显示，53%的组织表示已经见过AI智能体超出其预期权限的情况，47%经历过涉及智能体的安全事件。

当Flowise(CVE-2025-59528，CVSS 10.0)、Langflow或n8n等AI构建工具被攻破时，爆炸范围远超主机本身。这些工具包含前沿模型的API密钥、数据库凭证、向量存储令牌和业务系统的OAuth令牌。被攻破的AI构建主机不仅是单一系统入侵，而是凭证收集，可解锁对每个连接服务的认证访问。

如果没有每个AI工具主机的凭证依赖关系图，智能体事件响应将沦为猜测。对于每个实例，记录每个凭证、其访问范围和相关凭证轮换流程。同时，开始将静态API密钥迁移到下游服务允许的短期令牌。