AI正在打破两种漏洞文化：Copy Fail给我们的启示
事件回顾：Copy Fail与破裂的保密期
2026年5月初，Linux内核网络子系统发现了一个名为Copy Fail的严重漏洞。该漏洞（CVE待分配）通过内核网络子系统的缺陷实现本地权限提升，影响几乎所有Linux发行版。
安全研究员Hyunwoo Kim通过标准协调披露渠道报告了该漏洞。他向一个封闭的Linux内核安全工程师列表分享了影响分析，随后提交了一个静默修复——一个看似无害的补丁，修复了漏洞但未提及安全影响。这是经典的"漏洞就是漏洞"做法：快速修复，发布diff，希望没人注意到安全角度。
大约九小时后，这个做法失效了。
Kuan-Ting Chen独立发现了同一个漏洞并通过不同渠道报告。不到一天，有人注意到Kim的提交，理解这是一次安全修复，并公开发布了完整的利用细节。保密期就此破裂。
这本不值得大惊小怪——保密期破裂时有发生——除了一点：整个时间线被压缩到只有AI才能实现的程度。
两种碰撞的漏洞文化
Jeff Kaufman的精彩文章"AI正在打破两种漏洞文化"（2小时内获得72个Hacker News积分）指出了两种相互竞争的漏洞披露方法：
1. 协调披露文化
主流计算机安全领域的主导方法。发现漏洞后，你私下向维护者报告，给他们固定的时间窗口（通常是90天）来创建并部署修复。窗口期结束后才公开。理论是：修复在攻击者知道漏洞存在之前就部署好了。
这是大多数商业软件漏洞的处理方式——Google Project Zero的90天披露政策就是典型例子。
2. "漏洞就是漏洞"文化
在Linux内核和其他开源项目中尤为常见。理念是：如果代码做错了什么，直接修复就好。通过常规审核渠道提交补丁。不要引起注意。在数千次提交的噪声中，大多数变更不会被人发现。等到有人逆向工程出利用方式时，大多数系统已经打了补丁。
这种方法依赖于提交的信噪比足够低，让安全修复融入日常维护中。
两种方法在过去几十年里都有效——不完美但够用。AI从根本上改变了这一切。
为什么AI是加速器
AI通过两种方式影响漏洞披露，使旧模式不可持续：
AI让提交变得透明
"漏洞就是漏洞"方法依赖于没人注意到某个特定的提交是安全修复。内核每天有数百次提交，人类发现那个关键网络漏洞修复的概率很低。
AI完全改变了这一点。正如Kaufman在文章中的测试，三大前沿模型（Gemini 3.1 Pro、ChatGPT-Thinking 5.5和Claude Opus 4.7）都立即识别出Copy Fail的提交是安全补丁。在没有任何上下文的情况下，只给原始diff，Gemini就"确定这是安全修复。"
用LLM检查git日志中的每一次提交只需几分钱。组织和个人研究者现在可以自动标记与安全相关的提交，"漏洞就是漏洞"的掩护被彻底瓦解。
AI加速漏洞发现
90天的保密期模型假设在披露窗口内独立发现同一漏洞的情况很少见。这个假设已经过时。AI辅助的安全扫描意味着多个团队很可能在几小时或几天内发现相同的漏洞。
在Copy Fail案例中，两名独立研究者在九小时内发现了同一个漏洞。这不是巧合——这是一个预演，预示着任何能被发现的漏洞都会被多方同时快速发现。
没人想谈的保密期问题
长期保密期越来越适得其反。它们造成了虚假的紧迫感倒置：知道漏洞的人以为自己有几周时间来修复，而实际上独占知识的窗口只有几小时。
这带来几个后果：
- 补丁速度比保密更重要。24小时内部署的修复比30天后完美的修复更有价值，因为独占知识的窗口正在缩小。
- 保密期限制了防御方。只有核心圈的安全工程师可以参与修复。既然AI可以加速分类和补丁生成，你需要的是更多眼睛来看问题，而不是更少。
- 虚假的安全感。团队因为"在保密期内"而放松警惕，没意识到窗口已经关闭。
"保密期反而可能增加风险：它们制造了虚假的非紧迫感，并限制了能参与修复缺陷的行动者。"
—— Jeff Kaufman
接下来怎么办：更短的保密期，更快的防御方
前进的道路并不明确，但一些模式正在浮现：
极短保密期（24-72小时）
行业可能从90天窗口转向以小时或天为单位的保密期。目标从"在修复部署前保密漏洞"转变为"在大规模利用开始前协调初步响应。"
AI增强防御
加速漏洞发现的AI工具同样可以加快防御方的速度。自动补丁分类、影响分析，甚至AI生成的修复可以将从发现到修复的时间从数周压缩到数小时。关键洞察：AI对攻击方和防御方都是放大器——问题在于哪一方受益更多。
赏金计划需要重新设计
如果漏洞以AI速度被发现，基于90天披露窗口的赏金计划需要重构。更快的支付、更小的窗口和自动化验证是可能的调整方向。
快速补丁分发的基础设施
如果关键修复需要在数小时而非数周内部署，像Let's Encrypt自动证书签发和热补丁系统这样的基础设施变得至关重要。行业需要匹配新漏洞发现速度的分发渠道。
安全团队的核心要点
- 假设你的漏洞会在48小时内被独立发现。按应急响应来规划，而不是按90天时间线。
- 不要依赖提交的隐蔽性。把每次安全修复都当作会在提交后几小时内被公开识别。AI驱动的提交分析让"静默修复"策略过时了。
- 投资自动补丁生成和部署。修复速度现在是首要指标，优先级高于修复的完美程度。
- 主动缩短披露窗口。即使你可以要求90天，也要争取7天。生态系统的运行速度已经改变了。
- 用AI监控依赖项中的提交。如果攻击者可以用AI从提交中找到利用点，防御方应该用AI先找到并应用修复。
Copy Fail漏洞是一记警钟。不是因为它是有史以来最严重的漏洞——它不是——而是因为它是第一个广泛可见的案例，展示了AI从根本上打破了安全行业依赖了几十年的披露模型。这不会是最后一次。