企业修漏洞速度赶不上AI找漏洞，银行、能源巨头掀起网络安全支出潮

AI驱动的漏洞扫描工具正以前所未有的速度暴露软件缺陷，而企业修补漏洞的能力远远跟不上这一节奏。这场“攻守失衡”正在催生一轮大规模的企业网络安全支出潮，从华尔街大行到能源巨头，再到初创公司，无一幸免。

据科技媒体The Information 10月28日报道，美国银行近期披露，正招募1000名承包商，借助Anthropic的Mythos等AI工具修补自身软件漏洞。高盛则已大量使用Mythos和OpenAI的Astra模型在内部系统中主动搜寻漏洞，据一位与高盛管理层有过交流的知情人士透露，高盛高管已在讨论：公司在安全领域的AI支出，可能很快将追平甚至超过其在AI编程工具上的投入——而后者此前一直是高盛最大的AI相关开支项目。一家美国大型能源供应商的首席信息安全官也透露，该公司今年网络安全预算约为3000万美元，同比增幅超过10%，并已将明年的预算提前动用，以支付相关AI功能的额外费用。

这场支出潮的直接受益者包括Palo Alto Networks、Proofpoint、Cisco旗下Splunk等安全软件厂商，以及OpenAI、Anthropic等大模型提供商。Palo Alto Networks最近两个财季的营收增速已翻倍至逾30%。与此同时，据The Information此前报道，多家利用大模型自动化安全职能的网络安全初创公司，也正在收到收购方的接触。

漏洞爆发：AI发现速度远超人工修补能力

这场危机的核心矛盾，在于AI发现漏洞的速度与企业修复漏洞的能力之间存在巨大落差。

据报道，Palo Alto Networks首席产品与技术官Lee Klarich提供了一组数字，直观呈现了这一问题的规模：今年5月，Anthropic向约十余家科技和网络安全公司开放其Mythos模型访问权限，当月全球开源软件新报告漏洞总数约为1500个。仅仅一个月后，这十余家公司仅凭Mythos发现的新开源漏洞数量便超过37000个——尽管并非所有漏洞都属于高危级别，也并非全部经过确认或公开披露。

研究机构Epoch AI的数据进一步印证了这一趋势：仅今年8月和9月两个月内，被报告的“高危漏洞”数量——即可能对敏感数据构成严重威胁的漏洞——就已超过2025年全年的总量。

这种爆发式增长给企业安全团队带来了巨大压力。全球IT服务公司Diversified的首席信息官Viral Tripathi描述了该公司应对PHP漏洞和Brotli开源库漏洞时的混乱状态：

公司不得不调动约100名IT员工中的大多数，包括平时并不直接从事网络安全工作的分析师和工程师，全力排查哪些云应用和网页存在风险并安装补丁。

“这些修复工作耗费了大量资源，影响远不止于打一个补丁那么简单，占用了大量日常运营时间，”Tripathi说。

企业响应：招人、扩预算、引入AI代理

面对持续升级的威胁，企业的应对策略正在从被动响应转向主动防御，核心手段是加大人员招募和AI工具投入。

企业软件初创公司Atomicwork的CEO Vijay Rayapati上周紧急召集约30名工程师，要求全员优先处理网络安全问题——起因是48小时内接连发生多起安全事件：根证书机构eMudhra遭到入侵，AI模型路由开源工具LiteLLM被攻破，以及被约70%网站使用的编程语言PHP被发现存在安全漏洞。

据报道，尽管Atomicwork最终确认未受直接影响，但Rayapati表示，这场紧急响应本身就说明“没有人做好准备”。他计划未来每招募三名技术人员，就同步招募一名网络安全工程师，预计未来一年内专注网络安全的工程师人数将从现有水平增至约27人，大约翻三倍。

Diversified同样计划新增至少三名全职网络安全人员，并将来年网络安全软件预算提高约20%，重点投向自动化应用监控AI工具。

The Information报道指出，那家不愿具名的美国大型能源供应商，则将新增预算用于Mythos等AI工具，以及其已在使用的安全产品的AI增强功能——包括Proofpoint的邮件防护产品和Cisco Splunk的数据监控产品。该公司CISO表示，这两家安全厂商对持续监控AI功能额外收费，但这对于应对日益普遍的、由AI驱动的持续性黑客攻击而言是必要投入。

厂商受益：安全支出潮成行业新常态

网络安全软件厂商正从这轮支出潮中直接获益，并将其定性为长期结构性趋势，而非短期异常。

Palo Alto Networks的Klarich表示：“这是新常态的一部分。不要把它当作一次性紧急事件，而要把它看作你基本上每天都需要应对的事情。”该公司最近两个财季的营收增速已翻倍，超过30%。

OpenAI和Anthropic也将网络安全需求视为明年销售增长的重要驱动力，部分原因正是来自Palo Alto Networks等将其模型集成进产品的安全厂商。

不过，企业在AI安全工具上的支出并非没有边界。UiPath首席信息安全官Scott Roberts表示，该公司近期已通过转向更廉价的开源模型，削减了此前在Mythos等商业模型上的支出，以寻求更具成本效益的替代方案。

前Facebook网络安全负责人、上月加入AI初创公司Cognition担任同一职务的Alex Stamos，对整体形势给出了清醒判断：

“未来三到五年将是安全行业历史上最关键的时期。防御方在应对AI相关风险方面曾有先发优势，部分原因是我们（企业防御方）资金更充裕。但攻击方已经在迎头赶上。”