AI加速漏洞利用，传统漏洞表格已跟不上

人工智能正深刻改变软件开发与网络安全，其中对组织如何管理软件漏洞的影响尤为显著。传统漏洞管理模式多年相对稳定：扫描软件、识别CVE、打严重性评分、排优先级再交给开发修复。该流程从未完美反映真实风险，在AI时代其局限更难忽视。问题不只是待处理漏洞增多，软件产量快速扩张、漏洞发现加速，开发利用代码所需时间缩短；AI驱动的攻击还能组合漏洞，形成难以人工预判的攻击路径。结果是安全团队能识别的漏洞数量，与其能有效调查并修复的数量之间差距不断扩大。作者主张应改问“哪些漏洞在本环境中构成有意义的风险”，而非仅问“有多少CVE”。严重性不等于风险：CVE表明公开漏洞存在，本身不说明某组织被利用的可能性。以CVSS为例，它主要传达技术严重性及成功利用后的潜在影响，但不必然说明是否已有利用代码、是否在野外被利用、脆弱组件是否暴露，或脆弱代码路径是否在特定环境中执行。两家组织可拥有完全相同的CVE却面临截然不同的风险。