AI加快发现软件漏洞，一些企业却在增加安全岗位和预算。据The Information本周报道，全球IT服务商Diversified计划未来一年将安全软件预算提高约20%，并至少增聘三名全职网络安全人员。

修补工作的规模正在解释这笔新增开支。《纽约时报》同日报道，一项近期披露的PHP漏洞需要修改约200个文件。研究人员发现问题后，多家公司与开源维护者花了数周协调修复，再通知有关机构协助部署补丁。

应急修补占用了日常开发人手

Diversified最近处理PHP及网页流量压缩库Brotli的漏洞时，调动了约100名IT员工中的大部分人。参与者包括平时不直接从事安全工作的分析师和工程师，他们需要排查哪些云应用、网页可能受影响，并安装补丁。

该公司首席信息官向The Information表示，修复涉及的工作远超一次简单更新，正在挤占日常运营时间。公司拟增加的安全软件开支，包括能够自动监控应用的AI工具；新增专职人员则用于应对实际修补需求。

企业软件初创公司Atomicwork也经历了集中排查。首席执行官维杰·拉亚帕蒂（Vijay Rayapati）上周要求约30名软件工程师暂停手头工作，优先处理网络安全问题。公司最终确认没有受到相关威胁的直接影响，但仍投入了排查人力。

拉亚帕蒂计划，今后每招聘三名技术员工，就配置一名网络安全工程师。他预计未来一年，专注网络安全的工程师人数将增至约27人，达到目前的约三倍。这是公司的招聘计划，尚未全部落实。

找到漏洞之后，还有确认、修复与部署

《纽约时报》对PHP修补过程的报道显示，安全公司Calif的研究人员从7月开始，借助AI代理检查这门编程语言，发现了隐藏十余年的漏洞。随后，他们联系PHP维护者及发现类似漏洞的Wiz团队，共同推进修复。

参与工程师通过专用沟通渠道协作，并每天通话协调。临近完成补丁时，团队还通知政府机构和互联网基础设施公司Cloudflare，帮助扩大部署范围。检测输出之后，代码修改和跨机构协调仍需要投入时间。

开源维护者也要先判断报告是否有效。《纽约时报》指出，自去年底起，一些项目收到大量由AI生成、未经充分测试的漏洞报告，也收到确有价值的发现。根据OpenJS基金会的数据，Node.js今年已确认并修复50个漏洞，超过其以往任何一年。

漏洞披露与攻击成功之间仍有距离。Axios本周援引安全研究人员称，近期PHP漏洞虽然引发大量攻击尝试，但构造有效攻击的难度较高，成功案例有限，企业防御工作也发挥了作用。

扫描账单促使企业寻找更低价模型

安全团队扩员之外，AI扫描本身也是一项费用。企业软件公司UiPath(PATH.N)首席信息安全官斯科特·罗伯茨（Scott Roberts）向The Information表示，使用Anthropic的Mythos扫描一个代码库约需2.5万美元；公司拥有数百个代码库，近期已通过更便宜的开源模型削减这类开支。

摩根士丹利本周一的研报将低价模型与安全工作联系起来。该行认为，开放权重模型有望降低日志等运行数据的处理、告警调查、威胁分类及自动响应成本；客户或竞争对手也可能用这些模型，替代部分原本需要额外付费的安全功能。

研报同时指出，较低的推理成本可能带来更多使用量，节省最终由软件商还是客户保留，取决于竞争与定价方式。

The Information还采访了一家美国大型能源企业的首席信息安全官。该人士称，公司以约3000万美元为基数的网络安全预算，今年较去年增加超过10%，新增开支用于Mythos及现有安全产品的AI附加功能。

这家企业原有的邮件保护和数据监控工具，对持续运行的AI功能另行收费。为支付新增功能，公司已经提前动用了明年的网络安全预算。