安全研究应该研究安全——AI 时代的成本坍塌、指标失效与价值重估

1. 技术进步，是为了什么？

在软件安全研究中，漏洞发现（Bug Detection）长期以来是最具代表性的研究主线。一种新方法如果能够发现更多真实漏洞，往往就足以构成一项有说服力的技术贡献；而发现的漏洞数量、质量，尤其是获得确认的真实漏洞（如 CVE 乃至 PoC），也一直是衡量研究成果最直观、最硬核的证据。然而，在 AI 时代，这一不言自明的默认共识正在遭遇根本性的挑战。

长期以来，漏洞发现之所以被奉为圭臬，是因为它是一种昂贵而稀缺的能力。理解复杂系统、定位深层缺陷、确认漏洞影响，无不需要消耗大量的专业知识与专家人力。攻击者同样受到这一规律的约束：一个漏洞在技术上可以被利用，并不意味着有人愿意付出足够的时间和精力去真正利用它。在这样的历史条件下，更有效的漏洞发现技术具有不证自明的价值。

但支撑这一判断的前提条件，正在发生剧变。

AI 正在迅速拉低发现漏洞、理解复杂系统乃至构造利用所需的成本。过去需要人类专家投入大量时间的工作，如今越来越可能借助算力规模化地完成。我们尚不知道这场变革最终会收敛向何方：也许漏洞发现会变得近乎廉价，也许自动修复和形式化验证能力会同样迅速地发展，又或者新的技术瓶颈将在意想不到的地方浮现。甚至，攻击门槛的坍塌反而可能让更强的防御性漏洞发现比过去更加紧迫。但无论如何，过去几十年来支撑我们研究优先级与评价体系的底层条件，正在被彻底改写。

这迫使在这个剧烈变化的节点上，重新面对一个更基本的问题。这个问题其实从来没有消失过，只是过去的技术与经济条件让我们习以为常地绕开了它：

我们究竟在保护什么？当一项技术取得了纸面上的进展时，我们凭什么判断自己真的在取得“安全”上的进步？

要回答这个问题，我们必须先回到那些曾让“发现漏洞等于安全进步”得以成立的经济学底座。

2. 稀缺性、激励与安全研究的经济学基础

一个漏洞从被发现，到真正改变现实世界的安全状况，中间隔着一整套复杂的经济关系。

对于攻击者而言，一个漏洞的存在并不自动意味着它值得被利用。发现漏洞、摸清系统上下文、构造稳定可靠的利用链（Exploit），都需要实打实的成本投入。即使技术上存在可行的攻击路径，只要预期收益不足以抵偿投入，理性的攻击者就会选择放弃。因此，现实系统是否遭到攻击，不仅取决于脆弱性在物理上是否存在，更取决于攻击者是否有能力、有经济动机去利用它。长期以来，稀缺的专家劳动构成了一种事实上的保护：许多系统没有遭到深入攻击，并不意味着它们固若金汤，而仅仅是因为它们尚不值得攻击者投入相应的时间与智力成本。¹

防守者则面临着另一套残酷的经济约束。发现漏洞只是漫长链条的开始——确认其真实性、评估实际业务影响、设计修复方案、验证系统兼容性以及最终部署更新，每一步都在消耗宝贵的工程资源。更棘手的是，安全防御的收益往往是隐形的：一次成功的攻击会造成肉眼可见的损失，而一次成功的防御却只留下一个“没有发生的事件”。修复漏洞的成本是真实而确定的，但由此避免的损失却只存在于推演之中。 因此，防守方必须在有限的资源与注意力下，综合权衡漏洞被利用的概率、潜在损失与修复代价，决定哪些风险值得被优先处理。

尽管攻击者与防守者追求的目标完全不同，但他们在过去几十年里却长期受制于同一个上游技术瓶颈：发现此前未知的漏洞，需要极其昂贵的专业知识与人力投入。

对于攻击者，率先掌握未知的漏洞意味着获得尚未设防的突破口；对于防守者，赶在攻击者之前发现同一个漏洞，则意味着赢得了提前修补与缓解风险的时间窗口。双方都渴望比对手更早、更准确地摸清系统中隐藏的安全弱点。

这恰恰解释了为什么“更快、更准的 Bug Detectors”长期以来对攻防双方都具有致命的吸引力——只要不被误报（False Positives）的洪流淹没，它就能直接转化为攻防博弈中的先发优势。于是，“Bug Detection 的技术进步”便极其自然地被整个社区等同于“软件安全研究的进步”。

然而，这套运行良好的等价逻辑完全建立在一个核心前提之上：“发现未知漏洞”本身是一项昂贵、稀缺且构成主要矛盾的能力。 当这个前提被打破时，建立在它之上的大厦会发生什么？

3. AI: The Game Changer

人们未来会如何回顾 2026 年？或许这一年的标志性意义，就在于 AI 真正跨越了所谓“临界点”，彻底渗透进现实世界。从早期的 Chat Bot 到现在的 “agent”，从最初的“AI 怀疑论”到近期 AI for Math 的突破，大模型正在以前所未有的深度重塑一切技术工作。面对这场剧变，安全领域的研究者显然不能再“假装列车还在原轨道上继续行进”。

社区里有一种颇具代表性的声音，认为未来的出路似乎只能是去训练或微调模型，帮助下一代 AI 更好地完成安全任务——但那本质上是在做 AI 研究，而不是在做安全研究。 安全领域的研究者，归根结底仍应当关心“安全”本身的问题。因此，我们真正需要持续追问的是：AI 究竟在哪些底层维度上改写了安全研究的基础？这个追问目前还没有静态的终局答案，因为没有人能断言明年的模型能力会演进到何种地步。

但若审视 2022 年至今的 AI 演进脉络，有三条结构性趋势已经清晰可见：

• 首当其冲的是，AI 打破了漏洞发现能力的稀缺性；
• 其次，AI 大幅压低了攻击成本；
• 最后，AI 同样降低了重型防御技术的门槛。

3.1 稀缺与泛滥

人类社会长期面临的底层约束是“稀缺”，但在 AI 时代，当代码生成乃至基础分析智力本身变得充裕甚至过剩时，几乎所有建立在“智力稀缺”之上的研究范式都会发生动摇——旧的瓶颈消失了，但“充裕”本身又会孵化出同样棘手的新问题。

AI 正在迅速消解漏洞发现能力的稀缺性。过去需要人类专家耗费数周才能定位的深层漏洞，如今越来越可能由 AI 以极低的算力成本批量发现；过去依赖安全专家手工提炼的启发式规则（Heuristics），现在完全可以由大模型根据代码上下文动态定制生成。考虑到 AI 的代码理解能力仍在陡峭爬升，一个残酷却自然的推论是：如果一项所谓“Bug Detector”的核心贡献仅仅是引入了某种特定的专家经验或启发式策略，那么即便它在当下的实验基准上表现优异，恐怕也很难具备长远的学术与工程生命力。 在这一冲击下，漏洞发现研究或许只有在真正开拓人类尚未认知的全新脆弱性维度——譬如当年像 Spectre 与 Meltdown 那样定义一整类新型硬件微架构攻击（不知不觉 Spectre 距今也已过去 9 年了）——或是提供某种跨越式的完备性保证时，才能维持其原有的含金量。

与此同时，当稀缺转为充裕，“泛滥”本身便成了新的核心矛盾。

2026 年迄今为止（10 月 26 日）已经披露了 86k 个 CVE，而去年一整年只有48k 个。这膨胀显然得益于 AI 赋能下的漏洞挖掘能力。然而，“发现了 Bug”，然后呢？ 发现之后总得有人去修——哪怕让 AI 生成补丁，最终也必须由人类维护者去审查、合入、回归测试并承担线上崩溃的责任。当漏洞被倾泻出来的速度远远击穿人类维护者的修复带宽时，单纯的“发现能力”就从资产变成了负债。尽管“AI 自动代码修复（Automated Program Repair）”被寄予厚望，但其在真实复杂系统中的可靠性至今远未令人满意。

于是，这种从“稀缺”到“泛滥”的倒转，将真正的瓶颈从上游的“发现”无情地推向了下游：在一个高危告警层出不穷的世界里，我们该如何低成本、高可靠地完成修复？当所有漏洞都看起来很严重的时候，我们究竟该如何评估真实风险并排列优先级？

3.2 攻击成本更低

OpenAI 和 Anthropic 都在大力投入“安全对齐（Safety Alignment）”，试图仅向所谓的“认证用户”开放高级网络安全能力，但这一努力在逻辑上很难真正阻挡潜在的攻击者。这背后的核心矛盾在于安全工具的“双重用途困境（Dual-use）”与“任务拆解”：只要攻击者具备基本的专业素养，将一次恶意攻击拆解为原子的技术任务——例如“帮我针对这个接口写个 Fuzzing 驱动脚本”或“分析这段反编译二进制代码的状态机逻辑”——模型就根本无法在不牺牲正常编程能力的前提下拒绝请求。更何况，缺乏严格安全对齐的开源模型，在特定微调后其能力也早已跨过了“可用”的门槛。

我们已经开始看到一些佚事（如韩国银行事件²、iOS 逆向³等）⁴。这恰恰印证了我们前文剖析的经济学逻辑：现代数字世界的许多安全基石，本质上并非建立在“系统坚不可摧”之上，而是建立在“攻击成本过高，不值得黑客花时间”的假设之上。 但 AI 彻底拉低了门槛，重构了攻击者的效用函数——过去那些因为投入产出比太低而被忽略的“长尾目标”和复杂攻击链路，现在变得有利可图⁵。

曾几何时，真正减少黑客攻击的往往不是某种安全机制，而是像 App Store 这样的繁荣生态——当有能力的极客可以通过写软件安全、合法、体面地赚取高额回报时，做黑客的机会成本就太高了。然而，这一维持了十几年和平的隐性条件正在瓦解：一方面，AI 赋予了原本不具备顶级开发能力的低水平攻击者越级发动攻击的能力；另一方面，自动化 Agent 让攻击变成了一种“零边际时间成本”的后台任务，规模化攻击不再需要消耗顶尖黑客宝贵的个人时间。我们恐怕不得不重新面对一个类似互联网蛮荒时代的局面——高水平的网络攻击将再次变得层出不穷。

漏洞和攻击永远不会消失。好消息是，今天我们的安全基建与意识已与早期互联网不可同日而语；但坏消息是，即使攻防双方使用同样的 AI，攻击者天然具有非对称优势。顺着这一逻辑，我们当然可以顺理成章地勾勒出几个老生常谈的演进方向：

• 在攻击端，人类黑客的“经验护城河”正在被流水线化： 无论是逆向工程中的语义恢复、静态分析中的误报筛查，还是补丁发布后的 N-day 快速武器化，AI 正在精准填补过去自动化工具最依赖人工直觉的那些 gap。
• 在防御端，从“堵漏洞”退守到“控风险”： 当“默认没人花精力打我”的假设失效，防御的重心势必得向更激进的运行时监控、服务降级以及底层的硬隔离机制收敛。

然而，这些顺着现有框架推演出的结论，多少还有些停留在纸面。真正大规模、原生基于 AI 的攻击到底长什么样？这一形态在真实世界里其实尚未收敛。骤然坍塌的攻击成本，必然还在地下酝酿着某种全新的、规模化的灰产闭环——而那个真正定义 AI 时代网络安全的“切尔诺贝利时刻”还没有到来。

而按照安全行业一贯的传统实践，大概也只有等这场“切尔诺贝利”真正爆出来之后，安全从业者才能终于可以理直气壮地伸手要钱：“再不投入，就成为切尔诺贝利第二“。

3.3 防守成本更低

所幸，AI 对成本的重构并非单向地偏向攻击者，它同样为防守方打开了一扇前所未有的大门——曾几何时被工业界视为幻梦的 “Soundness（可靠性）”，第一次有了在现实世界中大规模落地的经济基础。

软件工程与系统安全的永恒拷问是：我们凭什么相信一段代码值得被接受，并安全地保留在真实的生产系统中？ 过去，我们勉强依赖人类开发者的心智模型与人工 Code Review 来维持这种脆弱的信任；但随着 AI Coding 的全面普及，代码生成的边际成本趋近于零，人类审查者的注意力带宽被彻底击穿。当海量的、缺乏人类心智背书的代码涌入系统，“经验性的抽查”已然失效，一个被工业界刻意遗忘已久的词——Soundness——不得不重新回到舞台中央。面对概率性的代码生成，唯有形式化与确定性的方法才能提供足够强的信任兜底。

在传统的程序分析与验证中，Soundness（不漏报）与 Precision（精确性/低误报）是一对近乎无解的两难。一旦追求极致的 Soundness，分析工具往往会因为过度近似（Over-approximation）而淹没在误报的海洋里；若想在保持 Soundness 的同时兼顾 Precision，或是直接构造形式化证明，则需要耗费惊人的专家工时去手动理解程序语义、恢复复杂上下文、编写规约（Specs）与循环不变量。高昂的人力溢价，使得强安全保证长期只能蜷缩在阿波罗和空客的飞控系统等极少数不计成本的领域。

而今天，AI 正在重塑这一权衡的成本曲线。尽管大模型本身是概率性的，但“寻找证明”和“验证正确性”是两件完全不同的事——而AI 极度擅长接管前者的苦力活：自动推断上下文约束、在海量静态分析告警中精准识别并裁剪误报，甚至通过不断试错去辅助构造形式化证明。譬如 Anthropic 最近在形式化验证上整的那些活⁶——尽管其具体做法大有商榷之处，却也又一次证明了 AI 给这个古老领域带来的全新可能性。

这意味着，防守方的效用函数同样迎来了重构：当昂贵的“专家人工标注与证明构造”被廉价的算力替代，那些过去因为投入产出比过低而被工业界束之高阁的重型防御技术（从符号执行、抽象解释到形式化验证），正在跨越盈亏平衡点，第一次成为经济上完全合理的选择。

4. 安全研究应该研究安全（Security Research Should Study Security）

长期以来，整个安全社区绝大多数时候研究的其实并不是“安全”本身，而是某个被异化的技术代理指标（Proxy）。

技术进步不仅改变我们“能解决什么问题”，更在根本上重塑“什么问题值得被解决”。在发现漏洞极其昂贵的旧时代，更高的 Fuzzing 覆盖率、更低的静态分析误报率、或是多挖出的几个 CVE，能够顺理成章地充当衡量安全进步的硬通货⁷；但当 AI 同时改写了漏洞发现、攻击武器化与形式化防守的成本曲线，这些单点技术指标正在迅速贬值，甚至开始反噬我们对真实风险的认知。

2026 年 10 月最新曝出的 PHP2Shell（CVE-2026-109618/109619）便是典型的一例。漏洞披露后，GitHub 迅速涌现数百个所谓的 PoC，但其中真正有效的 Exploit 寥寥无几⁸。部分所谓的“One-Click RCE”高度依赖特定内存配置、进程布局和精确的二进制偏移；尽管研究人员随后实现了适用于多种真实部署的 RCE，跨环境的可靠、规模化利用仍面临显著挑战⁹¹⁰。当 LLM 轻信 GitHub 上未经验证的 PoC，并将其他 AI 生成的分析当作独立证据时，推测就可能在反复引用中被放大，形成自我强化的回音壁。它固然是一个严重漏洞，但绝非最初渲染的那种通杀全网的 Universal Exploit。当“生成纸面上的漏洞与 PoC”变得如此廉价，继续盲从旧有的技术指标（想想看，“能跑通的 PoC”在过去曾是多么硬核的证据），往往只会在真实工程约束与实验室玩具之间制造巨大的认知失真。

但更关键的问题在于：即便未来的 AI 在技术上彻底克服了这类误判，能够毫无偏差地还原每一个漏洞在真实世界中的精确利用条件，它依然无法替我们回答“接下来该怎么办”——因为定义什么是“值得追求的安全进步”与“值得优先处理的风险”，本质上涉及无法被技术消解的价值判断。

技术只能给出“事实判断（What is）”：它可以客观地验证一个 Bug 是否存在、一条 Exploit 链路在多么苛刻的堆布局下有 0.1% 的概率走通；但纯粹的技术事实，永远无法自动推导出“价值决策（What ought to be）”：面对一个已经完全厘清了技术边界、确实存在但利用门槛极高的漏洞，我们究竟该不该冒着线上业务中断的风险，强推全网紧急停机修补？在有限的研发资源下，我们究竟应该继续投入算力去挖掘存量 C/C++ 代码里的第 1001 个边缘内存错误，还是忍受巨大的生态阵痛去推进架构隔离与内存安全重写？为了换取前文所说的“Soundness”强保证，我们又愿意让渡多少开发效率与系统性能？

在这些不可通约的权衡面前，安全界过去标榜的所谓“技术中立”，本身就是一种未经审视的价值选择。 当研究者把某个特定的技术子问题视为值得攻克的目标、当社区选择某套特定的评价指标（如 CVE 数量或 Benchmark 覆盖率）来衡量优劣、当整个行业默认沿用过去十年的研究优先级时，我们其实已经对“哪种安全更重要、哪种代价可以忽略”做出了强烈的价值判断——只是在底层技术相对“停滞”的年代，这些假设被包装成了不言自明的“客观常识”。

而 AI 的到来，恰恰剥夺了我们继续躲在“技术中立”背后的特权。 过去，因为“怎么做（How）”在技术上太难，我们可以理直气壮地搁置对“为什么（Why）”的追问；但无论未来的 AI 能替我们完成多少逆向、Fuzzing 乃至定理证明的技术工作，它只能回答事实判断，却永远无法替人类消除“在代价与收益之间做出选择”的责任。当技术的门槛被夷平，我们反而比以往任何时候都更需要直面那个无法回避的价值判断：为什么追求眼前的这种技术进步，会比其他的安全资源分配方式更好？

5. 重新审视安全研究

行文至此，我们有必要明确本文的立场：提出上述反思，绝非为了宣布 Bug Detection 已死，更不是要为安全研究钦点下一个“技术中心”。我们当然需要不断地提出新技术，AI 的介入反而释放出了大量激动人心的新技术命题等待被发现与讨论。未来究竟哪种具体技术最值得投入，取决于尚未收敛的 AI 能力边界、动态演化的现实威胁以及真实的社会需求。

但与此同时，整个安全研究共同体必须建立起一种新的自觉：未来的安全研究，不能再仅仅满足于证明“某项技术在既定指标上取得了进步”，而必须将“论证问题本身的合理性”纳入研究的核心义务。 当旧有的共识性代理指标（Proxy）不再天然有效，研究者在展示精巧的技术设计与漂亮的实验数据之余，有责任严肃地解释并捍卫自己的前提假设：我们为什么选择这个特定的研究目标？所采用的评价标准（Benchmark 与 Metrics）在多大程度上映射了真实世界的安全约束？更重要的是，为什么这种技术进步有望在现实中转化为值得投入相应工程与社会资源的真实安全收益？

换言之，技术探索的版图依然广阔，但支撑所有技术讨论的母题已经改变。告别了那个可以躲在默认指标背后埋头赶路的年代，未来的每一项安全技术创新，都应当是一次清醒的价值表态——我们不仅要向世界证明我们“做得到”，更要先向自己证明，这件事“值得做”。

参考文献