高盛警示：網路安全漏洞激增10倍或拖累AI股

nashnova research

今天发布阅读约 5 分钟

PHP、Java、Python三大技術生態同日爆出重大安全事件，高盛交易員將其列為AI股拋售的潛在誘因，同時指出漏洞激增反而令網絡安全股的多頭邏輯從「被AI替代」反轉為「因AI而不可或缺」。

同一日三個大洞，到底發生了甚麼？

10月21日，三宗安全事件同時曝光：PHP核心引擎被發現存在「PHP2Shell」內存漏洞（CVSS最高9.2分），可遠程執行代碼，影響過去約十年發佈的所有版本。

甲骨文就Java證書鏈驗證漏洞CVE-2026-91403（CVSS 9.1分）發出緊急警告——這意味著→ 兩個評分都接近滿分10分，屬於「不修就等著被攻」的級別。

開源AI閘道庫LiteLLM（每週下載量約2300萬次）遭供應鏈攻擊，惡意版本被推送至PyPI和Docker，可竊取雲端憑證和SSH密鑰；據Wiz稱，攻擊者在約四個半小時內便開始用竊取的AWS憑證測試亞馬遜Bedrock服務。

高盛EMEA delta-one交易主管普里沃羅茨基在「GS Basics」簡報中寫道：問題出現的速度「令人擔憂」，三大生態同日出事，「我不禁想知道，這是否加劇了市場對AI的擔憂」。

高盛外匯交易台的阿瑟頓更直接：將「負面AI新聞流」與資本開支削減、借貸成本上升並列，視為本週AI股遭遇「近乎完美風暴」的催化因素之一。

簡單來說＝高盛兩位交易員的判斷是：安全事件本身未必是主因，但疊加在資本開支和融資成本壓力之上，成為壓垮情緒的又一根稻草。

今次PHP漏洞的發現者並非傳統安全團隊，而是Wiz研究員借助Google Gemini 4 Argon和OpenAI GPT-5.6 Sol等前沿模型，一個人一週內完成了從發現、利用到補丁驗證的全流程。

Wiz稱之為「AI拐點」——簡單來說＝以前要世界級團隊花幾個月做的工作，現在一個人加AI一週便做完。

這反映出一個更深層的變化：AI同時降低了「搵漏洞」和「利用漏洞」的成本，攻防兩端同步提速。

Epoch AI數據顯示，21家主要科技機構披露的高危及嚴重漏洞數量已從2022至2025年間每月約100至500個，急升至目前高危約2900個/月、嚴重約600個/月，較此前基準高出約10倍。

這一「曲棍球棒式」上升節點，與Anthropic Claude Mythos Preview發佈時間吻合——這意味著→ 更強的AI模型上線後，漏洞被發現的速度出現了結構性跳升。

但Epoch AI自己亦提示：部分增量可能源於報告程序和標註方式變化，並非漏洞實際數量等比增加。

今年3月，網絡安全股曾因市場擔憂「AI令防御方失去價值」而大跌。

七個月後，高盛普里沃羅茨基的結論完全反轉：「AI正在大幅降低發現和利用漏洞的成本，攻擊面隨token規模持續擴大，很難想像安全支出不會大幅加速。」

簡單來說＝ 3月份市場驚的是「AI令安全公司冇飯食」，而家驚的是「冇安全公司邊個都活唔到」——多頭邏輯從「被替代」轉為「不可或缺」。

美國多家大型銀行檢測到未經授權的AI代理存取客戶賬戶，嘉信理財和摩根大通已限制第三方AI代理接入。

高盛專家約翰斯頓引述美國政府AI政策負責人薩克斯的判斷：大部分情況屬於客戶主動將憑證交給自己的AI助手，「可能違反銀行服務條款，而非必然構成網絡攻擊」。

但約翰斯頓補充：「客戶同意本身並不能解決交易授權、意外操作和責任歸屬等風險。」 這意味著→ 即便並非黑客攻擊，AI代理的自主操作仍給金融體系帶來全新的合規和責任難題。

市场有风险，内容仅供研究参考，不构成投资建议。