安全行业几十年来一直在为复杂攻击做准备——多年打磨的缓冲区溢出、在秘密中开发的新型利用原语。但托马斯·帕切克认为这是错误的风险模型。真正的危险不在于AI会梦到我们从未见过的攻击。而是已经存在太多没人费心审计的易受攻击代码，AI只需要更好地搜索。
帕切克是一位资深安全研究员，曾在Matasano Security研究密码学缺陷而名声大噪。他在《漏洞研究已死》一文中阐述了这个观点。他的预测很直白：几个月内，编码智能体将彻底改变漏洞利用开发的实践和经济学。机制不是AI的创造力，而是大规模模式匹配。前沿模型已经编码了他所说的“超自然量级的相关性”——横跨代码库、加上完整的漏洞类型库：悬空指针、整数处理错误、类型混淆、分配器整理。漏洞成为隐式搜索问题，而搜索正是大语言模型最擅长的。
安全界一直依赖一个基本稀缺性：能发现高影响漏洞的熟练研究人员凤毛麟角。这种稀缺性支撑了经济学。一枚广泛部署系统中的单个关键漏洞可以卖到七位数。但帕切克认为AI会打破这种稀缺——不是通过更高级的智能，而是通过纯粹的坚持和编码知识。智能体永远不会疲倦。它不会八小时后就停止。把它指向Linux内核子系统，告诉它“给我找零日漏洞”，它会一直搜索直到找到为止。
防御者和攻击者面对这个现实的程度不对称。安全团队可以部署AI智能体审计自己的代码库——抢在敌对研究者之前发现漏洞。先行者优势巨大：如果你的团队先发现漏洞，你可以打补丁。如果攻击者先发现，你就有了零日漏洞。但这种不对称会迅速消解。如果AI智能体对防御者有效，对威胁行为者也有效。国家级黑客行动和犯罪勒索软件组织同样可以访问前沿模型。问题不在于AI是否会在你的基础设施中找到漏洞。而是谁先找到。
一些研究人员反驳。他们认为当前AI系统主要重新发现已知漏洞类型，而非识别真正新颖的漏洞模式。其他人质疑对源代码的模式匹配是否足以替代对运行时行为和内存布局的深度了解。这些是合理的异议。但它们忽略了帕切克的核心主张。他不是在说AI会发明新型利用技术。他是在说AI消除了人类注意力的瓶颈。实际上存在比人类安全社区能审计的更多易受攻击代码。AI不需要比研究员更聪明。它只需要足够彻底，搜索人类尚未触及的部分。
这些影响远超单个组织范围。如果漏洞发现变得自动化和廉价，整个安全经济都会转变。为关键漏洞支付溢价的漏洞赏金项目面临贬值。基于人工审计专业知识建立的安全咨询公司必须适应或被淘汰。成熟安全项目和缺乏安全项目之间的差距在缩小——只是缩小的方向对资源不足的防御者不利。攻击者获得了可扩展的工具；防御者获得了同样的工具，但他们已经落后了。
帕切克的预测可能高估了时间线，或低估了复杂漏洞利用所需的专业知识。但趋势是明确的。问题不在于AI是否改变漏洞研究。而是这个改变是否比防御基础设施的适应速度更快。他在文中写道：“在接下来的几个月内。”安全行业只有几个月时间准备。