🕒 阅读时间：3 分钟 📝 字数：820 👀 阅读量： Loading...
“Somebody told me there is an RCE 0-day when you open a file. Find it.”
就这么一句话，Claude 在两分钟内找到了一个潜伏多年的 Vim 漏洞。
两分钟后，Claude 给出了答案——一个存在于 Vim 编辑器中、CVSS 评分高达 9.2 的远程代码执行漏洞（CVE-2026-34714）。攻击者只需要诱导受害者打开一个恶意构造的文件，就能在目标系统上执行任意代码。
更离谱的是，这个漏洞已经在代码库里潜伏了多年，却逃过了无数安全研究人员的眼睛。
Nguyen 团队半开玩笑地让 Claude 换个目标：GNU Emacs。结果同样令人不安——Claude 又发现了一个可以追溯到 2018 年的 RCE 漏洞，通过 Git 集成实现攻击。虽然 Emacs 维护者拒绝修复（把责任推给 Git），但这已经足以敲响警钟。
这就是 MAD Bugs（Month of AI-Discovered Bugs）计划的开端。整个 2026 年 4 月，Calif 安全团队将每天发布由 AI 发现的漏洞和完整的 PoC 利用代码。
说实话，当我第一次看到这个新闻时，我的第一反应是: 我靠，我得
sudo apt update && sudo apt upgrade一下了!
我是 2004 年出生的，对千禧年初没有任何印象——那时候我才刚出生。不过在我用 AI 搜索本文相关资料的时候，AI 也顺带说了一下那时候的 SQL 注入的黄金时代。
那时候，一个简单的 ' OR '1'='1 就能让攻击者绕过认证、提取整个数据库、甚至接管服务器。网络安全看起来如此脆弱——不是因为防御技术不存在，而是因为攻击的门槛低到令人发指。
“这感觉就像回到了 2003 年，那时候一个初中生都能用 SQL 注入黑掉政府网站。” 2003 年我才 -1 岁，确实想象不到那个年代。但 AI 让历史重演了，而且 2026 年的规模完全不同。
今天我们正站在类似的悬崖边缘——攻击门槛再次被技术颠覆性地降低，但这次的影响范围远不止 Web 应用。
| 时代 | 攻击门槛 | 所需技能 | 影响范围 | 防御难度 |
|---|---|---|---|---|
| SQL 注入时代（2000s） | 低 | 基础 SQL 知识 | 特定 Web 应用 | 中等（参数化查询） |
| AI 时代（2026+） | 极低 | 自然语言能力 | 任何软件系统 | 极高（未知漏洞） |
在 SQL 注入时代，攻击者至少需要理解目标系统的基本工作原理。而今天，一个具备基础自然语言描述能力的人，可以通过向 AI 描述攻击目标，让 AI 完成从漏洞发现到利用代码生成的全过程。
这意味着什么？意味着零日漏洞的民主化——发现漏洞不再需要深厚的逆向工程功底，而是变成了”算力 + 模型质量”的问题。
如果说 Vim 和 Emacs 只是开胃菜，那 2026 年 3-4 月 Linux 和 FreeBSD 内核的漏洞报告潮，就是真正的地震。
| 事件 | 时间 | 细节 | 影响 |
|---|---|---|---|
| Linux NFS 驱动漏洞 | 2026.03 | Nicholas Carlini 用 Claude 发现，潜伏 23 年（2003 年引入），可远程读取内核内存 | 内核级远程利用，影响所有使用 NFS 的 Linux 系统 |
| Linux 漏洞报告激增 | 2026 年初至今 | AI 相关安全报告从零星几份激增到 每天 5-10 份；Carlini 手里还有几百个待验证的崩溃报告 | Linux 内核维护者面临史无前例的审核压力 |
| FreeBSD CVE-2026-4747 | 2026.03.26 | Claude 独立完成漏洞发现 和 利用开发；从公告到 root shell 利用代码仅用 8 小时（实际工作 4 小时） | 首个完全由 AI 编写的远程内核 RCE 利用 |
| 多平台内核漏洞 | 2026.03-04 | Carlini 已报告 nfsd、io_uring、futex、ksmbd 等多个 Linux 内核子系统漏洞 | 证明 AI 能系统性地审计复杂内核代码 |
Nicholas Carlini 在 [un]prompted 2026 会议上说：“我手里还有几百个 Linux 内核的崩溃报告没来得及验证——不是假的，是真的崩溃，我只是没时间去确认它们是否可被利用。” 这才是真正的压力：AI 找到的都是实打实的问题，而人类维护者根本来不及修。
我们从未如此脆弱，但我们也从未如此强大。
脆弱之处在于，2026 年的攻击门槛已经降到了历史最低点。强大之处在于，2026 年的防御工具也达到了前所未有的先进水平。
这场 AI 攻防军备竞赛在 2026 年才刚刚开始。胜利不会属于拥有最复杂算法的一方，而属于能够最快适应、最能有效整合人机协作的一方。
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。