1美元网络攻击崛起，持久防御更值得投入
随着生成式AI的普及，网络攻击的门槛正在急剧降低。一篇来自IEEE Spectrum的评论文章指出，如今只需花费1美元，攻击者就能借助大语言模型（如Anthropic的Claude Mythos）发动快速而强大的攻击。在这样的威胁环境下，传统的“发现漏洞再打补丁”模式已显得力不从心。文章作者、纽约大学计算机科学与工程助理教授Evan Johnson和教授Justin Cappos提出，真正的解决之道在于转向内存安全代码——从源头消除整类漏洞，而非疲于修补。
为什么“补丁模式”难以为继？
长期以来，网络安全界遵循着一种被动防御逻辑：软件发布后，通过漏洞报告、安全更新和补丁来修复问题。然而，随着攻击自动化程度提升，攻击者可以批量扫描未打补丁的系统，并迅速利用已知漏洞。更关键的是，许多严重漏洞（如缓冲区溢出、释放后使用）源于C/C++等语言的内存管理缺陷。即使开发者及时发布补丁，用户也未必能立即部署，这给攻击者留下了时间窗口。
内存安全：从根源上“铸盾”
Johnson和Cappos强调，编写内存安全的代码才是更具“耐久性”的防御策略。内存安全语言（如Rust、Go、Java）通过编译时检查和运行时机制，自动避免指针误用、越界访问等常见错误。这意味着整类漏洞在代码编写阶段就被消除，而非依赖事后修补。事实上，微软、谷歌等巨头已在核心组件中逐步采用Rust，以降低安全风险。
AI攻击的成本与收益
文章特别指出，大语言模型降低了网络攻击的门槛。攻击者可以用极低成本生成钓鱼邮件、恶意代码甚至零日漏洞的利用脚本。1美元的投入可能换来数万倍的破坏收益。在这种不对称对抗中，防御方必须提升“基础免疫力”——即软件的先天安全性。
小结：投资“耐久性”而非“应急响应”
短期内，补丁仍是必要的安全手段；但从长期看，将安全左移、在开发阶段采用内存安全语言，能显著降低漏洞密度和修复成本。对于企业和开发者而言，这意味着需要重新权衡技术选型：选择Rust等内存安全语言，虽然可能带来学习曲线和性能权衡，但相比持续的安全事故和应急响应支出，这笔投资显然更划算。
随着1美元攻击成为常态，唯有“耐久防御”才能让系统在风暴中屹立不倒。
