"如果攻击者借助人工智能更快地发现漏洞，我们的更新和补丁流程能否跟上这样的节奏？"这个问题如今不仅摆在IT团队面前，也摆在风险委员会和董事会面前。
这个问题有一项最新发现作为依据。在Gartner于2026年8月25日发布的季度新兴风险调查中，人工智能驱动的网络漏洞发现成为2026年第二季度组织面临的首要新兴风险。该调查于2026年4月和5月进行，对象是来自不同行业和地区的316名高管和风险经理。
本文探讨这一风险说明了什么、公共机构如何重新安排补丁优先级，以及组织可以采取哪些步骤加快补丁管理。泄露发生后应采取的措施是另一个话题，我们已在关于网络泄露与事件响应的文章中讨论过。本文关注的是在泄露发生之前多快能修补漏洞。
这一风险说明了什么？
根据Gartner的评估，人工智能使漏洞发现更高效、门槛更低，从而使传统风险管理方法更难跟上节奏。评估指出，如果治理、安全运营和修复能力没有同步发展，人工智能辅助的漏洞发现可能会超越组织的防御能力。
Gartner建议组织通过四种方式更新对这一风险的假设：
- 重新校准风险影响评估，以反映日益扩大的暴露面，
- 更新风险偏好，以反映漏洞发现的持续性，
- 加强第三方控制，避免供应商引入新的风险，
- 加快网络响应策略，实现更快的补丁修复和自动化修复。
我们在关于供应商引发的数据泄露的文章中讨论了供应商关系的合同和通知层面。本文聚焦第四项，即补丁修复的速度。
公共机构如何重新安排补丁优先级？
2026年6月10日，美国网络安全和基础设施安全局（CISA）发布了针对联邦机构的约束性指令BOD 26-04。该指令的依据强调，攻击者使用人工智能可能会进一步缩短从补丁发布到漏洞被利用之间的响应时间。该指令撤销了此前的两项指令（BOD 19-02和BOD 22-01），将其整合为单一的基于风险的框架。
该指令仅约束美国联邦机构，对土耳其公司不产生任何义务。不过，其优先级逻辑提供了一个清晰的模型，任何组织都可以根据自身流程加以调整。漏洞修复的紧迫程度由四个问题决定：
- 资产是否暴露在互联网上？
- 该漏洞是否列入CISA的"已知被利用漏洞"（KEV）目录？
- 攻击者能否将利用过程的每一步自动化？
- 漏洞被利用后，攻击者获得的是部分还是完全的系统控制权？
根据答案的不同，期限差异很大。对于暴露在互联网上、列入目录且可获得完全控制权的漏洞，期限为3个日历日；此外，还须进行初步取证检查，以确定系统是否已被攻陷。另一端是不暴露在互联网上、未列入目录且无法自动化利用的漏洞，可以在下一次计划内的重大更新时修复。介于两者之间的是14天和60天的等级。
这一方法背后的观察，在CISA于2021年发布的BOD 22-01页面上就已经存在。根据当时的分析，在所有分配了CVE编号的漏洞中，被公开利用的不到4%；然而，在被利用的漏洞中，42%在披露当天就被利用，50%在两天内被利用，75%在28天内被利用。简而言之，组织不应试图以同样的紧迫程度修复每一个漏洞，而需要非常迅速地修复那些实际被利用的漏洞。
土耳其的法律框架
2025年3月19日在Resmî Gazete（土耳其官方公报）上公布的第7545号网络安全法（Siber Güvenlik Kanunu）第7条规定，属于其适用范围、通过信息系统提供服务或收集、处理数据的主体，有责任将其在所提供服务领域发现的任何漏洞或网络安全事件毫不迟延地通知Siber Güvenlik Başkanlığı（网络安全总局）。您应与法务团队评估适用范围对贵组织的影响。不过，从发现漏洞的那一刻起记录谁作出了什么决定，是通知和修复的共同需要。
加快补丁管理的实用路径
美国国家标准与技术研究院（NIST）在其SP 800-40 Rev. 4指南中，将企业补丁管理描述为"预防性维护"。该指南的核心原则之一是：对每个新漏洞单独进行风险评估是不可行的，因此必须通过事先准备好的计划迅速作出决定。另一项原则是：由于资产、软件和补丁数量众多，没有自动化就无法保持补丁修复的节奏。基于这一框架，以下是一份检查清单：
- 保持清单最新。 不知道哪些软件以哪个版本运行在哪里、哪些资产暴露在互联网上，就无法确定优先级。NIST建议在更新清单时尽可能依靠自动化。
- 将资产划分为维护组。 将具有相似特征和相似维护需求的资产归为一组，可以为每个组编写一份计划。
- 事先写好四种情景。 NIST建议为常规补丁、紧急补丁、补丁发布前的紧急临时缓解措施以及无法打补丁的资产分别制定情景。推迟常规补丁也会让危机更加严重，因为在紧急情况下，必须先安装积压的补丁。
- 以书面形式规定优先级规则。 CISA的四个问题（互联网暴露、已知被利用、是否适合自动化利用、控制程度）是制定内部优先级表的良好起点。根据自身的风险偏好设定期限，并按照Gartner的建议同时更新这一偏好。
- 明确所有风险应对方式，而不仅仅是补丁。 NIST列出了四种应对方式：接受、缓解（打补丁、禁用某项功能、网络分段）、转移（如保险，或使用由供应商负责打补丁的SaaS）和规避（移除软件、停用资产）。如果无法立即打补丁，关于临时措施的决定也应与具体的时限挂钩。
- 将部署和验证自动化。 验证补丁已安装、漏洞已修复，与触发安装同样重要。如果报告没有自动化，时间目标就无法衡量。
- 核查供应商和云服务合同。 以书面形式明确供应商修复其自身基础设施中漏洞的速度以及通知您的方式。
- 定期向管理层报告。 关键漏洞的平均修复时间、超过期限的漏洞数量以及无法打补丁的资产清单，是董事会可以用来监测风险的简单指标。
结论
随着人工智能加快漏洞发现，从发现漏洞到漏洞被利用之间的时间可能缩短。Gartner将其列为本季度的首要新兴风险；CISA则围绕互联网暴露、已知被利用、自动化和控制程度，为联邦机构重新安排了补丁优先级。组织应吸取的教训不是试图以同样的速度修复每一个漏洞，而是能够依据事先写好的规则，在几天内修复真正危险的漏洞。
从Orient Global的角度看，一个冷静的第一步是编制面向互联网的资产清单，并为其制定书面的优先级和期限表。
为什么物流经验在此很重要。 NIST将打补丁描述为预防性维护，这对任何维护过叉车、输送机和配送车队的人来说都不陌生：每台设备都有清单，设备按类别和维护需求分组，有常规计划也有应急程序，注意力向最重要的部分倾斜。物流或分销企业的不同之处在于，补丁窗口还必须与发货计划相协调，因为保持货物流动的仓储、运输和订单系统通常与第三方相连，在错误的时刻重启可能让卡车在码头等待。Orient Global的一位顾问拥有30多年运营、物流和供应链经验：在一家大型科技分销企业，他全面负责物流、仓储、技术服务和行政运营，组建并领导100多人的团队，并通过KPI驱动的项目实现了运营绩效的持久提升。他还曾在领先的零售、物流和分销机构管理全国性仓储和运输业务。作为一名工业工程师，他如今通过人工智能和自动化将这种供应链管理纪律带给中小企业。认识我们的顾问。
本文仅供一般参考，不能替代法律意见。
#interimmanagement #forwarddeployedengineering