【安全圈】十億條 CISA KEV 修復記錄分析揭示人力安全模式的極限

關鍵詞

漏洞

漏洞利用時間現已降至負七天，自主AI代理加速威脅，數據不再支持漸進式改進。防御架構必須改變。

領導者須知

過去四年CISA已知被利用漏洞分析顯示，盡管團隊關閉的工單數量增加6.5倍，第7天仍未修復的關鍵漏洞比例卻從56%惡化至63%。增加人手無法解決此問題。

我們研究的52個被武器化追蹤漏洞中，88%的修補速度慢于利用速度——一半在補丁發布前已被武器化。

問題不在于速度，而在于運營模式本身。

累積暴露時間而非CVE數量，才是安全團隊現在需要衡量的真正風險指標。當儀表板獎勵沖刺式補丁部署時，漏洞利用的是長尾。AI并非另一個攻擊面——AI驅動的攻擊者面對人類防御者的過渡期，才是行業最危險的窗口。

作為回應，防御者必須實施自己的自主閉環風險運營。

破碎的物理法則

Qualys威脅研究單元新研究分析了四年間1萬家組織的超過10億條CISA KEV修復記錄，量化了行業長期懷疑但從未大規模證實的事實：支撐企業安全的運營模式已崩潰。

自2022年以來，漏洞數量增長6.5倍。據谷歌M-Trends 2026，平均漏洞利用時間已崩潰至負七天；換言之，攻擊者在補丁發布前就已武器化最嚴重漏洞。第7天仍未修復的關鍵漏洞比例從56%攀升至63%。

但這并非缺乏努力。組織現在每年關閉的漏洞事件比基線多4億個。團隊更努力，但在關鍵處未能產生影響。研究人員稱之為"人力天花板"——無論人員配置或流程成熟度如何都無法克服的結構限制。約束不是努力，而是模式本身。

在52個完整利用時間線追蹤的高調武器化漏洞中，88%的修復速度慢于利用速度。例如，Spring4Shell在披露前兩天就被利用，而企業平均需要266天修復。同樣，Cisco IOS XE漏洞提前一個月被武器化；平均關閉時間為263天。

攻擊者優勢以天衡量，防御者響應以季度衡量。這不是情報失敗，而是運營化失敗。

安全圈

網羅圈內熱點 專注網絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！