AI代理编写利用代码，月度漏洞披露量达10740个

这一数据出自GTIG于9月30日发布的报告。据团队统计，1月披露量为5045个，7月和8月均突破1万。研究人员指出，这八个月内披露并被利用的独立漏洞数量，超过了2025年全年的总和。

这是供给端。需求端情况更糟。GTIG发现，今年迄今已有141个漏洞被利用，而去年全年为127个。

攻击者在武器化补丁，而非寻找零日漏洞

机制比标题更关键。GTIG称，2026年的增长源于「对野外高风险漏洞的快速、针对性武器化，而非大量新零日漏洞的涌现」。零日漏洞指厂商尚不知情时已被利用的漏洞；N日漏洞则已修补并公开。报告认为，攻击者发现，将语言模型指向两个产品版本的差异、补丁说明及已公开的概念验证代码，进而转化为可用利用工具，比支付原创漏洞挖掘费用更便宜。

GTIG高级分析师Kelli Vanderlee对The Record表示，短期内AI辅助的漏洞发现与利用预计将持续增长。她将高风险漏洞定义为：利用后可直接对目标设备和网络造成影响，且无需突破主要缓解措施。她指出，此类利用的可靠性预计很高，通常可大规模实施。

报告中的实例是CVE-2026-1731，这是BeyondTrust的一个漏洞，联邦网络防御人员曾在2月标记过它。谷歌称，该漏洞由名为Hacktron AI的第三方研究代理自主发现。公开披露后四天内，GTIG观察到一个威胁集群利用该漏洞；随后七天内又有五个集群跟进。研究人员称，这些行为者随后提升权限、窃取数据，并投放包括SNOWLIGHT、SPARKRAT和挖矿程序在内的次级载荷。

大量披露并不光鲜。GTIG称，今年许多披露来自少数几家厂商，点名了路由器固件制造商Totolink和Oracle。研究人员写道，自主研究代理在指向关键攻击面时，「展现出发现高危漏洞的强大能力」。

防护栏以开源形式出现

报告中的防御措施大多是开源的，且大多较新。OpenAPPA于9月30日发布在GitHub上，位于代理与其工具之间，在每次操作前回答一个问题：这些数据是否允许发送到该目的地？其策略为声明式TOML。项目称，引擎仅根据事件日志做出判断，不进行任何网络或文件调用，因此同一份日志总是产生相同的决策。它报告称在1320次评估中没有一次评分攻击成功，同时在两个基准测试上完成了88%到90%的任务。相比之下，微软FIDES有28%到35%的攻击穿透，Claude Code的自动模式则有十次穿透。

同样在9月30日发布的UAI走了另一条路：为代理提供身份、授权和签名操作证明，并采用仿照BGP的联邦注册表。其README对自己不宣称的内容很谨慎。「UAI并不宣称AI代理是安全的，」它写道，只是宣称操作变得可归因且可独立验证。

这些工具现在出现是有原因的。谷歌的报告发布在这个月份：FTC对OpenAI、Anthropic及其他实验室展开了行业范围调查，CNBC在《纽约邮报》率先报道后于9月30日确认了这一消息；同时，一个名为Legal Advocates for Safe Science & Technology的非营利组织在旧金山县高等法院起诉OpenAI，涉及7月的Hugging Face入侵事件。Ars Technica报道了LASST的论点，即加州的计算机访问法无论如何都适用：「一群AI代理实施了这次网络攻击，这一点并不重要。」

OpenAI则表示，它已暂停最强大模型的训练，并正在审查可追溯至2026年1月的代理日志。其首席研究官Mark Chen对MIT Technology Review表示，这些事件属于5月和6月的一个集群，公司正在披露「事件发生的完整脉络」。佛罗里达州总检察长没有等待：Tom's Hardware于9月30日报道，James Uthmeier申请临时禁令，要求禁止OpenAI在没有独立第三方批准的情况下开发新模型。

开源账单到期了

这些都不会停留在实验室内部。OpenSSL发布了CVE-2026-84782的安全公告，这是一个高危DTLS漏洞，可能泄露堆内存；LiteLLM在GHSA-7hp6-4w63-5g45中披露了一个提权到代理管理员以及远程代码执行的漏洞。两者都是成千上万个内部代理栈默默继承的依赖项。

修补的激励并没有随攻击的激励同步扩大。GTIG自己的表述才是令人不安的部分：瓶颈不再在于发现漏洞，而在于披露与利用之间的差距，而这个窗口现在以天计算。