零日漏洞攻击

零日漏洞攻击是指找到一个连软件开发商自己都还不知道的安全漏洞,并利用它真正闯入系统的攻击方式。这就好比一栋房子里存在一扇谁都不知道的暗门,而有人先发现了它,趁没人注意悄悄溜了进去。之所以叫“零日”,是因为漏洞一旦被公开,防守方能用来修补它的时间就是零天,也就是完全没有时间。

这里的关键在于,“发现漏洞”和“真正能用来攻击”是两回事。知道漏洞存在,和做出能借这个漏洞实际打开门的“钥匙”(攻击代码),中间隔着很大一段距离。所以安全行业会把单纯发现漏洞的能力,和把它做成可实际使用的攻击工具的能力,分开来看待。

最近的焦点是,AI模型能否在没有人类协助的情况下,独自完成这两个步骤。过去需要顶尖安全专家花上几周才能找到的漏洞,如果AI能在短得多的时间内大批量找出,并直接做出能实际运作的攻击代码,那么防守方能用来应对的时间就会相应大幅缩短。

文章报道称,OpenAI在评估其即将发布的模型Astra的风险等级时,依据的标准是它“能否在没有人类介入的情况下,针对多个真实关键系统,识别并开发出所有严重程度的功能性零日漏洞攻击”。容易被误解的一点是,这并不是指AI制造出了新的缺陷,而是衡量AI能多快找到软件中原本就存在的漏洞,并将其完善为真正可用的攻击工具。