漏洞研究的大萧条与大繁荣：Linux内核安全面临的范式转变
本文基于LWN.net上的一场关于"漏洞研究是否已走到尽头"的激烈讨论，由著名Linux内核开发者、HAProxy项目创始人Willy Tarreau（wtarreau）分享Linux内核安全团队正在经历的前所未有的"震撼教育"。文章深入探讨了在自动化工具、模糊测试（Fuzzing）和人工智能的推波助澜下，软件安全生态正在发生的翻天覆地的变化。
核心论点
AI和自动化工具（特别是模糊测试）已将漏洞挖掘的效率推向极致，导致Linux内核安全面临范式转变。传统的安全实践（如禁运期、CVE追踪）已失效，必须转向新的模式。
关键发现
- 漏洞报告海啸：Linux内核安全团队每周收到的真实漏洞报告从2-3份激增至每天5-10份。
- 平行发现成为常态：同一个漏洞被不同人/工具独立发现并报告的情况频繁发生。
- 禁运期制度消亡：由于平行发现，保密修复已无意义，反而剥夺了用户的知情权和采取临时措施的权利。
- CVE追踪失效：在漏洞泛滥时代，基于CVE的定点修复模式低效且无效，应转向持续、自动化的系统更新。
- "发布即遗忘"模式终结：任何软件都必须建立持续的维护和安全响应团队，否则将被市场淘汰。
应对策略
- 防线前移：在代码被合并到主分支之前，利用AI和高级分析工具进行严格审查，从源头减少漏洞。
- 极速社区协作：将漏洞报告公开，要求报告者提供初始修复补丁，利用社区力量快速迭代。
- 持续迭代更新：建立并严格执行周期性的、无缝的自动化系统更新机制。
未来展望
Willy Tarreau预测，整体软件的质量将会出现一次大幅度的跃升，最终可能恢复到2000年互联网大规模普及之前的状态。但在达到那个高质量的光明彼岸之前，“我们必须经历一场可能会持续数年之久的巨大混乱。”