过去五周内，少数黑客借助市面上广泛可得的AI工具，成功侵入了遍布数十个国家的超过600个防火墙系统。
五周。少数人。六百多台防火墙。听起来像电影梗，但事实就在报告里冷冰冰地摆着。
你以为只有国家级黑客才能干这种事？错。用的工具，是OpenAI的API、开源深度学习模型，还有市面上随手可以买到的渗透测试AI套件。门槛低到什么程度？一个高中生，只要肯学习，也理论上能把玩儿起来。
这些攻击不是传统的“暴力破解+木马植入”，而是AI生成式攻击让AI学会目标系统的防御逻辑，然后一套一套地输出针对性极强的攻击代码。
想象一个场景：过去，黑客像侦探，翻代码、试端口、熬夜抓蛛丝马迹。现在，AI像个超速助手，读完防火墙的配置，几分钟就能写出一把“钥匙”。成功率更高，速度更快，也不需要休息。亚马逊工程师在报告里还写了一个更扎心的数据：在这次攻击中，黑客们平均只用了不到48小时，就完成了从研究到突破的全过程。
时间的对比最能刺痛人心。五年前，攻破一个银行系统可能要三个月。现在让AI看一眼，就能缩短到三天、一天，甚至几小时。防守方要扛住所有漏洞，进攻方只要找出一个就行。AI把这种不对等，放大了十倍。
这次被攻破的600多个系统里，很多是中型企业。它们没有大厂那样的安全团队，也没有国家级的防御预算。换句话说，面对AI黑客，它们基本就是裸奔。当工具廉价化、门槛下降，安全不再是技术问题那么单纯，而成了资源和警觉性的差距。
听到这里，你可能会问：AI不是一直被用来防御吗？没错，AI也在帮忙。但攻防使用的技术差不多，成本却完全不同。防守端要把每一条缝隙堵上；进攻端只需找到一条缝隙就能进去。想赢？得跑得比别人快，也得不止靠技术。
亚马逊能发现这些入侵，也靠的是AI。它们用AI做“数字哨兵”。这些系统会实时分析网络流量，发现异常就报警，某些情况还能自动隔离威胁。大厂在用，中小企业的安全软件也在升级。但这依然有个问题：谁来付这笔钱，谁来部署这些AI防御？不是每家公司都愿意或能负担。
法律和规则开始试图跟上这场军备竞赛。欧盟的《人工智能法案》预计将在今年6月生效，里面要求对高风险AI系统做风险评估并保有人类监督。美国也有了“AI权利法案蓝图”的方向，国内则有《生成式人工智能服务管理暂行办法》，要求服务提供者对用户输入的数据负责，不能滥用。规则的意义，不是立刻把所有黑客斩草除根，而是把作恶的成本抬高，让滥用不再那么廉价。
说到这里，别以为把一切都交给法律就万事大吉。政策的落地需要时间，审查和监管也有盲区。再强的条文，也拦不住技术的迭代速度。更现实的防线，往往还是在每一个人的手上。
所以，普通人该怎么办？有三件事最接地气，也最有效。
第一，学会把AI当成防守的工具，而不是只在新闻里看热闹。企业要在安全预算里把AI防御列为刚需。个人用户要优先选择带有实时防护和自动回滚功能的软件。
第二，养成基本的安全习惯。可疑邮件别点，下载软件先查口碑，系统更新要确认来源。AI再聪明，也需要借助人的疏忽才能发动灾难。不给AI可乘之机，就是最廉价的防护。
第三，推动规则不是口号，而是动作。企业要配合合规审查，平台要把滥用门槛设得更高，研究机构要把攻击样本公开、透明地分析，供防守方学习。
技术本身没有好坏之分，关键在人用它做什么；AI学坏了的速度，比我们想象的快，但人学聪明也不是没可能。
现在的问题是：当AI把进攻变成“流水线化”的低成本服务，安全行业还能继续按老办法收费和运作吗？这次600多个被攻破的系统只是开始，还是警钟？谁将为这场被廉价化的网络战争付账？
热门跟贴