AI 漏洞利用时代的开源安全：不改代码也能打补丁

这篇来自开源安全领域的文章说：2026 年，AI 模型几小时内就能根据补丁对比自动写出可利用的漏洞攻击，从漏洞公开到被利用的时间中位数已从 2021 年约一年缩短到一天，预计 2027 年只要一分钟。开源维护者多为志愿者，Anthropic 到 2026 年 5 月报告的 530 个高危漏洞里只修了 75 个，很多项目由一两个人支撑，靠免费开源很难跟上。作者建议企业把关键开源依赖转向有厂商或基金会支持、按服务协议负责修复的“专业开源”，并迁移到能说清维护者是谁的软件包。对读者而言，这意味着安全策略要从“定期打补丁”改成按小时计的反应速度，并先盘点自己依赖了哪些没人维护的代码。