深夜的安全运营中心里，自动代码审计流水线仍在高速运转。前沿大模型在几小时内横扫数百万行历史源码，向工单池连续抛出成百上千条高危漏洞告警，负责接单编写补丁的人类工程团队却瞬间陷入排队瘫痪。2026 年 10 月中旬披露的一则真实案例揭开了这种失衡的烈度，美国银行作为 Anthropic Project Glasswing 的早期合作机构，累计投入 4,000 人修补由 Anthropic Mythos 预览版模型与 OpenAI 模型在内部系统中挖掘出的软件安全漏洞，包含约 3,000 名内部员工与外聘的 1,000 名外部技术顾问。同期密码学学者 Matthew Green 给出判断，指出 AI 模型制造安全冲击的速度与人类更新替换工业标准的速度相差整整几个数量级。当机器找洞速率完成指数级跃迁，靠人力排队修洞的传统防线便发生了全线拥堵。
纯算力并发找漏洞冲垮人工修补队列
大模型挖掘代码缺陷异常轻巧，研发人员接手修复却步履维艰，根源在于攻防两端的物理环境存在非对称性。漏洞挖掘是一场只读的无状态算力推演。只要为 Anthropic Mythos 或 OpenAI 模型分配充足的 GPU 推理集群，成百上千个智能体实例就能在同一秒内复制出无数份静态代码快照，沿着抽象语法树与控制流图并行穷举边界输入。一旦某个分支暴露出越界读写或权限绕过入口，模型只需输出触发路径描述即可完成任务，无需对线上服务承担稳定性责任。
相比之下，修补漏洞是高度串行的有状态工程。告警工单落入研发队列后，工程师必须在本地拉起多服务依赖环境，手工构造载荷复现问题并剔除假阳性误报。仅一行边界校验的改动，就可能波及上游客户端协议或下游批处理字段解析。找漏洞是零包袱的纯算力并行推演，修漏洞却是牵一发而动全身的生产状态迁移，两者吞吐率差出了整整几个数量级。
上游是零成本横向扩展的并行推理洪峰，下游是受制于排期沟通的单线程人力窄门，两股流量对撞的后果就是工单积压呈指数级膨胀。美国银行接入 Anthropic Mythos 与 OpenAI 模型扫描存量软件资产后，原有安全与工程团队无法消化集中涌现的代码缺陷，只能调集 3,000 名内部员工并增聘 1,000 名外部技术顾问组成四千人修补阵列。
生产环境状态耦合拖慢补丁落地上线
四千人规模的应急会战表明，单纯在发现端引入智能体只会把瓶颈猛烈推向下游。在拥有数十年历史包袱的大型机构中，核心账务或网关代码往往与数十个外围子系统深度耦合。工程师拿到 AI 扫出的漏洞报告后，真正的耗时大头不在于敲下那几行修复代码，而在于漫长的回归验证、跨组兼容性会签与生产变更排队。
| 安全作业模式 | 吞吐量级 | 状态耦合度 | 验证方式 | 人力开销 |
|---|---|---|---|---|
| 智能体并发漏洞挖掘 | 每小时数千次扫描 | 只读无状态推演 | 静态分析与载荷构造 | 零人工纯算力扩展 |
| 传统人工排期修补 | 每周数十张工单 | 强耦合业务与审批 | 搭环境手工复现 | 抽调数千人救火 |
| 沙盒自动补丁验证流水线 | 分钟级闭环合成 | 容器内仿真校验 | 自动复现加单测 | 仅终审最小差异 |
若缺乏前置核验机制，海量真假掺杂的扫描告警会迅速耗尽研发精力。当大模型几分钟就能翻出成百上千个陈年漏洞，靠招几千个工程师手写补丁的时代彻底结束了。
沙盒自动验证漏斗对齐攻防两端吞吐
消除攻防吞吐率倒挂的出路，是用高并发的自动化验证与补丁合成沙盒去对冲上游发现洪峰。安全厂商 Sophos 在托管检测与响应流水线中引入 OpenAI Daybreak 智能体工作流，将安全威胁排查耗时压缩 96%，并自动接管 52% 的托管响应工单。同期 Block 的安全团队也将 OpenAI 模型嵌入代码修复链路，完成威胁研判后由智能体在数分钟内提出候选修复补丁。
将上述实践抽象为研发基建，核心是在扫描出口与人工审查之间插入三层沙盒漏斗。第一层是触发路径可达性早停网关，扫描模型抛出的潜在缺陷先在隔离容器内自动重放验证载荷，无法触发异常的假阳性告警直接提前终止。第二层是最小补丁合成与只读回归沙盒，由补丁智能体拉取目标函数的最小语法树上下文生成修复代码，并在挂载全量单测的沙盒中自动回归。第三层是人工终审收敛，仅将通过全部漏洞阻断复测与业务单测的最小代码差异推送给工程师。用无状态的自动化验证沙盒吃掉九成以上的复现与回归开销，才能把人类工程师从补丁救火中解放出来，守住核心业务状态的最后一道审批闸门。
资料：
- The Decoder 关于美国银行投入 4,000 人修补 AI 模型所发现漏洞的披露 https://the-decoder.com/bank-of-america-puts-4000-people-on-fixing-vulnerabilities-uncovered-by-anthropics-mythos-and-other-ai-models/
- OpenAI 关于 Sophos 与 Block 自动化安全排查及分钟级补丁生成的实践 https://openai.com/index/sophos/
- Simon Willison 引述密码学学者 Matthew Green 关于攻防速度数量级差异的分析 https://simonwillison.net/2026/Oct/9/matthew-green/
