补丁之后还有什么：Wes Roth对AI攻防竞速与防御转型的推演

一、主讲人与议题背景

这集节目由Wes Roth主持并上传，内容是他的个人评论，没有可确认的受访嘉宾。元数据显示，上传日期为2026年10月24日，标题为“it's WORSE than we thought...”，时长1,818秒，约三十分钟。Roth引用并解释其他人物的言论与报道，并未与这些人物进行访谈。因此，节目中的主持人判断，需要与他所转述的主张分别看待。

本集承接他此前关于潜在网络攻击浪潮的视频，更新了他对风险的判断。讨论超出了单个漏洞的修复，转向AI能力扩散后，攻击速度、防御能力与软件开发方式能否重新取得平衡。Roth从泄露事件和异常流量谈起，讨论个人代理与研发暂停，最后转向实时防御和廉价安全测试。

他也明确表达了对自动化便利的期待：希望助手能代为处理财务、医生预约等自己无暇顾及的事务，同时承认，授权助手行动可能带来真实损失。对便利的期待与对授权后果的担忧，贯穿了他的论述。理解这层立场，有助于辨明他为何既欢迎代理能力发展，又反复追问安全边界；节目中的转述本身则仍不等于独立核实。

二、本期主要内容

Roth从两类材料谈起：Quest Diagnostics的数据泄露报道，以及一名未具名安全从业者对蜜罐流量的描述。按他的转述，蜜罐服务器在六小时内收到一万四千次访问，其中没有人类流量。他随后以自主AI攻击群的耐心与纪律，解释自己所担忧的攻击变化。但节目没有展示流量分类方法或事件归因报告。访问量、攻击尝试与成功入侵是不同指标；两则消息被放在一起，也不足以证明它们属于同一波AI攻击。

另一条主线是漏洞公布与遭到利用之间的时间差。Roth转述Cloudflare的说法，称相关漏洞在正式公布前数日就已受到攻击，并回顾Jason Clinton对漏洞浪潮的预警。这些材料提醒观众，公众获知问题时，攻击窗口可能早已开启。不过，现有信息不足以据此计算各类系统的风险暴露时间，也不能认定它们面对相同风险。

Roth还将十月二十一日与PHP重大漏洞披露、NSA要求无法及时修复者关闭服务的警告联系起来。但这段内容没有列出漏洞编号、受影响版本或完整公告。它解释了Roth为何提高警惕，却不足以成为判断某个网站是否应当停机的技术依据。

随后，讨论从网站安全转向拥有私人数据和工具权限的助手。Roth描述了一种通过访问链接来编码并传出信息的方式：私人信息不必出现在聊天回答中，也可能随着网络请求外泄。他对这一问题已经修补表达了信心，但没有提供确认修复的证据。

另一个案例来自他引用的Stephen Elisey的叙述：Claude Code据称在访问的网站要求识别用户后，将个人数据放进了HTTP请求头。Roth同时承认，他尚未阅读配套的Substack文章。这个案例提示人们关注外部网站如何影响代理动作，但简短转述不足以确定问题涉及哪些产品版本、配置或用户，更不能推断所有用户都面临同样的缺陷。

三、核心观点：推理、例子与边界

Roth的核心判断是，模型的安全能力不会停留在固定水平。他反对“发现十个漏洞，修好十个，就能恢复常态”的静态预期：如果模型继续进步，新模型可能发现旧模型看不到的问题，今天清空的漏洞清单，明天仍可能增长。这支持持续验证的必要性，却不能单独证明防御必然失败。攻击方发现问题并完成利用，与防御方发现问题并部署修复，各自都要经过不同环节。

未知漏洞使时间差变得更关键。在软件作者尚不知道某条入侵路径时，攻击者可能已经在利用它。Roth将Altman的谈话理解为对超出现有威胁模型、甚至涉及硬件层面攻击的警告，并明确说明这是自己的解读。因此，异常新颖的攻击仍是节目中的前瞻性担忧，不能据此认定它已成为得到展示的普遍能力。他转述的Cloudflare公告前攻击情况，说明了披露与利用的先后顺序为何重要，却不足以预测所有未来攻击的速度。

攻击规模与成功率也要分开看。Roth转述微软关于Storm-0940的材料，称这一与中国有关联的威胁行为体使用多种模型，从最初针对目标开展活动，到获得拥有强大管理权限的云访问能力，用了三小时；他同时承认，微软称多数攻击并未成功。这个案例让响应时间被压缩的担忧有了具体依据，但三小时并不代表攻击的平均耗时。蜜罐收到一万四千次访问，同样不等于发生一万四千次成功入侵，更不能仅凭访问量确定流量来自AI。

Roth以“家里看到两只蚂蚁，不代表只有两只”说明，观测到的恶意活动可能只是全部活动的一部分。这个比喻提醒人们注意监测的局限，却没有给出未被观测到的攻击数量。从“还有攻击未被发现”，无法直接推出攻击总量必定达到某个规模。节目对可见性不足的警示有其道理，对隐藏规模的判断则缺少量化依据。

研发暂停的争论涉及另一组问题：哪些能力仍可控制，限制又能约束谁？Roth区分了托管服务与已下载的开放权重。服务商可以停止提供模型访问，却无法通过同一种服务关闭机制，收回他人保存的权重。他还认为，即使不再开展更大规模的新训练，现有模型仍有继续改进的空间。沿着这一思路，遵守限制的机构可能停步，违规者却继续推进，使防御方相对落后。这是暂停政策需要回应的问题，但并不证明所有暂停方案都会失败。限制对象、核查方式以及是否保留防御研发，都会影响结果。Roth自己也承认，不受限制地推进和全面暂停都可能造成伤害。

节目谈到的两条防御路径，各有不同前提。一条是Roth根据Altman言论猜想的实时AI防御机制，在系统运行时识别并阻止攻击；他没有找到明确架构，也反复承认自己是在猜测。另一条是他转述的Jason Clinton预测：约十八个月的进步，可能让小型、廉价模型获得高水平网络安全能力，进而阻止带有安全漏洞的软件发布。前者尚需说明如何部署与响应，后者则依赖能力提升和成本下降。两者可以互补，但节目没有证据表明它们属于同一系统。

Roth进一步把第二条路径描述为代理协作：一组代理构建软件，另一组尝试破坏，再推动修复。他以自己使用GPT-6 Astra的Ultra模式开发、测试小游戏的经历说明成本约束，回忆测试可能达到数千次，持续数小时，消耗了大部分周额度。他估算，若换算为API调用，费用可能达到数百至数千美元，但这并非实测账单。他用于说明成本与漏洞发现率关系的百分比，也明确是自己假设的数字。这段经历支持的判断是：检查变便宜，可能让更多检查变得可行。它并未证明测试数量可以换算为安全保证。Roth最终也承认，他不知道零漏洞发布能否实现。

四、学习与应用

这些讨论能否用于实际决策，首先取决于结论来自何种证据。报道转述、个案、主持人解读和未来预测，不能获得相同的确定性。Roth引用Amit Carp对部分互联网可能需要停机修补的担忧，随后表达了自己对更大范围停网的主观忧虑。他没有给出数值概率，也没有完整论证局部停机如何演变为整个互联网关闭。个人或组织可以据此讨论业务连续性，但不能把这种担忧当作停网通知。

两个代理泄密案例提示，安全审查不能只看助手最终回答了什么，还要检查它访问了哪些地址、发送了哪些请求字段，以及外部内容能否触发涉及私人数据的动作。沿着这一思路，可以先在不含真实秘密的测试环境中观察行为，再决定开放哪些账户与操作；对于付款等难以撤回的动作，可以设置人工确认。这些是从节目案例推导出的应用方式，尚不是节目验证过的产品方案。权限收紧会减少自动化带来的便利，权限放宽则需要更充分的检查，二者应放在一起衡量。

对开发团队而言，Roth描述的“一组构建、一组尝试攻破”，可以转化为有明确范围的验证流程：先列出产品必须遵守的权限与数据规则，再让测试代理通过压力测试或红队测试尝试违反规则，记录可复现的问题，修复后重新验证。评价这种流程，关键在于能否说明发现了什么、修复了什么，以及哪些路径仍未检查，代理数量本身并不能回答这些问题。他的小游戏经历表明，测试可能消耗大量时间和额度，却不足以为另一个项目提供预算依据。团队可以先做小规模试验，记录实际成本与有效发现，再决定是否扩大投入；他假设的漏洞发现率不能直接用作采购指标，所有测试通过也不能被写成零漏洞认证。

研发暂停的政策讨论，也需要明确限制的对象与执行方式：暂停针对新训练、现有模型的使用，还是进一步优化？已经分发的能力如何处理？防御研究是否继续？如何约束违规者继续推进所获得的优势？这些问题源于Roth对存量能力和执行不对称的分析，可以用于比较不同方案，但不会预先替任何方案给出结论。

个人账户安全方面，Roth的建议很明确：使用强密码，避免复用密码，启用双因素认证，并优先选择认证器应用或硬件认证设备，而非短信。他还在支付或基础设施可能中断的假设下谈到准备一些现金，同时提醒观众不要恐慌，并承认所担忧的中断可能不会发生。账户安全措施与应急准备因此需要分别评估：前者是他的直接建议，后者取决于读者对相关服务的依赖和自身条件。检查安全习惯不需要以接受灾难预测为前提，完成这些准备也不意味着所有AI相关风险都已解决。

来源

• 原始节目：it's WORSE than we thought...