九月的微软补丁星期二刷了一个历史纪录：单日修复 974 个 CVE 漏洞，其中 113 个严重、860 个重要，并包含两个已被在野利用的提权零日。趋势科技 Dustin Child 在 The Register 的复盘里点出更让人不安的细节——这一波被修的组件，绝大多数是 Telnet 客户端、Windows RNDIS、NFS Portmapper、Link Layer Topology Discovery 这类「多年没人翻过」的代码角落。「隐晦式安全」(security through obscurity) 假设某个组件冷门、文档不全，就不会被攻击者盯上；AI 智能体把这条假设彻底撕掉了。

AI 智能体把代码历史照了一遍

2026 年的 AI 不再只会写代码，它能系统性地把开源仓库、闭源二进制、商业 SaaS 里「沉睡的组件」挨个叫醒。Mythos、Claude Opus、GPT-5.x 这类代码感知模型，配合结构化探索 agent，可以在没有人工引导的情况下顺着依赖关系爬到十年前的子模块里找遗留漏洞。Solidot 引用的现象是「以前没人问，就等于不会被发现」；今天则是「没人问，AI 会问」。Microsoft、Adobe 这种每个月固定推 Patch Tuesday 的厂商，瞬间把过去十年没修的累积技术债一次性摆到台面上。这不是 CVE 数量「突然涨」，而是「原来该被发现、却从来没被发现」的存量被一次清库。

维护者侧的连锁反应

代码暴露面扩大不等于修复能力也跟着扩大。一个项目接到上百个由 AI 报告的 issue，triaging 每一个、复现、确认、修掉、再测试，这个链路里依然卡着真正会写代码、能承担 risk 的人类工程师。Solidot 的同篇转述里直接提到「项目维护者积压」。结果是三类现实后果：第一，Triage 流水线被淹没，开源项目维护者精力被腐蚀；第二，CVE 数量本身变得「通货膨胀」——同样是 P0 现在的 P0 比五年前的 P0 信号密度更低；第三，安全产品开始用「AI 写 exploit、AI 写补丁、AI 验证修复」的全自动循环来压缩时长，把整个攻防循环压缩到小时级而不是月级。这意味着旧节奏的「披露→修复→公告→修补」窗口被吞掉一半。

攻防对称被重新定义

Solidot 关键的一段引语是：「攻击者也在利用 AI 对补丁进行逆向工程，在数小时内开发出相应的漏洞利用方法」。这跟 Copilot 搬进 Rust 那次的过程恰好是对称面：那边 Claude Opus 4.8 / GPT-5.6 Sol 花了 14.5 周帮防御方写出 83 万行业务代码，这边同样的模型族被防御方与攻击方同时拿去跑「读 diff → 写 PoC → 验证 exploit」流水线。门槛在这一刻被同步拉低：防御方依然要人审 commit、看架构；攻击方只要拿到补丁的 diff，就能把零日变成可以挂到地下论坛货架上的商品。Anthropic 把 Mythos 定位为「security-augmenting agent」，但同样的能力对另一方是 free rider。

隐晦式安全不再是工程风格，是攻击面

过去「我们这个服务没人知道，没人来黑」是一种工程上的默会共识；今天它是一种可测量的裸露面积。Solidot 引用的 Dustin Child 那句话可以反过来读：「多年无人问津」不是赞美、不是缺陷标记，是「还没人用 AI 来扫」的同义反复。开发者过去用隐晦换来「拖一拖、再拖一拖」的修复节奏，今天的威胁模型不允许这种节奏。任何长生命周期的代码——尤其是嵌入式、固件、内部工具、SaaS 后台任务——现在都默认要按「明天会被 AI 抓出 bug」的标准来对待。隐晦式安全不会被明文禁止，但它会因为「被发现的经济性被 AI 改写了」而失效。

对工程团队的实际影响

要把这件事从「行业宏观」翻译成「团队今天该改什么」，至少有三件事可做。第一，把三五年没改过的内部依赖列出来挨个做一次 AI-assisted 漏洞扫描，不要等外部研究员先一步发现。第二，patch 流水线要假设「披露后 24 小时内就有 PoC 出现」，留下足够窗口——回滚预案、可灰度的灰度发布、热补丁能力——而不是只盯着下次月度发布。第三，建立一个审查 AI 报告 issue 的轻量门：哪些是真 bug，哪些是模型幻觉，哪些是低危但占了维护者时间，分流要前置，不要积到 backlog 里。隐晦式安全的失败是新常态，不是单一事件。

所以呢

「隐晦式安全已死」听起来像口号，但它其实是「attack surface 经济学翻转」——把「不暴露 = 安全」换成「不被 AI 在合理时间内找到 = 安全」。这两者的差距，被 Mythos、Claude Opus、GPT-5.x 这一代模型迅速拉平。安全研究者过去靠 niche，靠 niche 的沉没成本享受的安全余量被这些模型挤掉。换言之：未来五年里，真正稀缺的不是「发现漏洞」，而是「在没有攻击 AI 配合的情况下快速修掉漏洞并发布到全球」。