微软用AI挖出570个漏洞，补丁三倍于上个月

周二早上八点半，我到工位第一件事是看邮件。

安全组的邮件标题只有一个数字：570。[1]

我以为是哪个系统的报错码。点开一看，是微软 7 月补丁日的漏洞数量。

上个月刚破纪录，200 个。安全群炸过一次，几个管服务器的兄弟骂了一上午。这个月直接干到了近三倍。60 个标了"严重"——远程就能接管你电脑那种。其中 2 个已经被黑客用上了。[2]

我把邮件转发到运维群。最先回的不是文字——是一个长达 7 秒的语音。

全是脏话。

7月补丁日，微软甩了570个漏洞出来

一、570 这个数，打乱了所有人的节奏

微软的"补丁星期二"我经历了十几年。每个月第二个周二，雷打不动，80 到 120 个漏洞修一修，IT 部门排个计划，周四灰度、周末全量。节奏跟便利店每周二进货一样稳。

去年 6 月飙到 200 个的时候，大家已经觉得不对劲了。但好歹还能消化——多加一两天测试窗口就行。

这回 570 个。我把列表导出到 Excel，光标一路往下滚——滚了五屏才到底。

不光是微软。Adobe 这个月起补丁翻倍，一月一次改两周一次。Google 6 月修了 900 多个。Cisco、Mozilla、Oracle 全在提速。[2] 整个行业像约好了一样。

原因微软自己已经说了。7 月 9 号，Windows 部门老大 Pavan Davuluri 发了篇博客，标题很温和——"让 Windows 漏洞管理跟上 AI 发现的速度"。[3] 里面的内容翻译成人话就是一句话：

以后每个月都会这么多。

这 570 个里最扎眼的几个：

❶ Copilot 被开了个 CVSS 9.6 的口子。攻击者架个恶意网页，你拿手机 Edge 点一下，Copilot 就被远程劫持了[2]

❷ Active Directory 零日漏洞。普通域账号拿下，整个域控沦陷。CISA 发了紧急警告[2]

❸ SharePoint 零日漏洞。也在被实际利用[2]

❹ 另外还有 ~250 个提权漏洞和 60 个严重级别

二、AI 在挖洞，AI 也在钻洞

微软用的是一套叫 MDASH 的系统。同时拉好几家 AI 模型，让它们互相"吵架"——你说这里有漏洞？它说没有。交叉验证完了，高可信度的才推给工程师修。[3]

以前靠人审计。几百个安全研究员盯着几十年的 Windows 代码，一年翻出一两百个洞就不错了。Windows 底层有些代码能追溯到 90 年代。[1] 人看不出来。AI 跑一遍，全给你翻出来了。

读到这里我其实挺高兴的。防守端终于跑起来了。

然后我翻到 Krebs on Security 文章里的一段话。[2]

Tenable 的工程师 Satnam Narang 提了一组数据：Anthropic 拿 Mythos 模型跑了一批漏洞——这些漏洞微软都标记为"人类攻击者不太可能利用"。14 个，Mythos 搞出了 13 个攻击代码。

我盯着这行字看了半分钟。

微软的判断逻辑是：这些漏洞的攻击路径太复杂，人类研究员逆向分析+写利用代码，至少几周。有这个时间窗口，补丁早就推完了。

但 AI 不需要几周。补丁发布的当天，它就能完成逆向、分析、生成攻击代码、验证。

以前是：微软发补丁 → 攻击者花三周逆向 → 写出利用代码 → 这时候大部分企业已经打完了补丁。

现在是：微软发补丁 → 当天 AI 出攻击代码。

这个时间差一消失，整条防守链的逻辑就碎了。

三、但我最头疼的不是漏洞本身

是装了补丁之后的事。

我们便利店的收银系统跑在 Windows 上。后台的报表服务器、补货终端、会员管理——全是 Windows。我管着几十台。不多，但在零售行业，收银机要是补丁打挂了——顾客排队结不了账，损失是按分钟算的。

以前一个月 100 来个补丁，我的流程很简单：周二出补丁→周三挑两台测试机跑一遍→周四没问题就全量推。十年来这套流程没出过大事。

现在 570 个。我得先把列表筛一遍——哪些是 Windows 的、哪些是 Office 的、哪些是服务器的。然后分批：收银机不能跟后台服务器同一天更——万一两个同时挂了，店里就瘫了。第三步是做回滚预案——570 个补丁里如果有一个跟收银软件的某个驱动冲突，我怎么在半小时内把机器恢复到昨天下午的状态。

Brian Krebs 干了二十年安全报道，文章最后罕见地加了一句话：普通用户最好等几天再装。[2]

连他都觉得这批补丁的稳定性风险超出了正常范围。

但等等再装这件事本身就自相矛盾：

不等 → 570 个补丁，可能有兼容性问题，蓝屏了没人替你扛

等 → 里面有 2 个已经被利用的零日漏洞，多拖一天多一天风险。而且现在 AI 当天就能出攻击代码

微软知道这个问题。他们在推 Autopatch 自动打补丁、Hotpatch 不用重启。[3] 但这两样只帮了"装"这个动作。

"装了会不会炸"——这件事，最后还是落在人身上。落在那个周三早上八点半打开测试机、深吸一口气、按下"检查更新"的 IT 运维身上。