高盛警示：网络安全漏洞激增10倍或拖累AI股
nashnova research
PHP、Java、Python三大技术生态同日爆出重大安全事件，高盛交易员将其列为AI股抛售的潜在诱因，同时指出漏洞激增反而令网络安全股的多头逻辑从「被AI替代」反转为「因AI而不可或缺」。
同一天三个大坑，到底发生了什么？
10月21日，三起安全事件同时曝光：PHP核心引擎被发现存在"PHP2Shell"内存漏洞（CVSS最高9.2分），可远程执行代码，影响过去约十年的所有版本。
甲骨文对Java证书链验证漏洞CVE-2026-91403（CVSS 9.1分）发布紧急警告——这意味着→ 两个评分都接近满分10分，属于"不修就等着被攻"的级别。
开源AI网关库LiteLLM（周下载量约2300万次）遭供应链攻击，恶意版本被推送至PyPI和Docker，可窃取云凭证和SSH密钥；据Wiz称，攻击者在约四个半小时内就开始用窃取的AWS凭证测试亚马逊Bedrock服务。
高盛交易员为什么把这些漏洞和AI股抛售挂钩？
高盛EMEA delta-one交易主管普里沃罗茨基在"GS Basics"简报中写道：问题出现的速度"令人担忧"，三大生态同日出事，"我不禁想知道，这是否加剧了市场对AI的担忧"。
高盛外汇交易台的阿瑟顿更直接：将"负面AI新闻流"与资本支出削减、借贷成本上升并列，视为本周AI股遭遇"近乎完美风暴"的催化因素之一。
用大白话说＝ 高盛两位交易员的判断是：安全事件本身不一定是主因，但它叠加在资本支出和融资成本的压力上，变成了压垮情绪的又一根稻草。
AI自己发现漏洞——这说明什么？
这次PHP漏洞的发现者不是传统安全团队，而是Wiz研究员借助谷歌Gemini 4 Argon和OpenAI GPT-5.6 Sol等前沿模型，一个人一周内完成了从发现、利用到补丁验证的全流程。
Wiz称之为"AI拐点"——用大白话说＝ 以前要世界级团队花几个月干的活，现在一个人加AI一周就干完了。
这反映出一个更深层的变化：AI同时降低了"找漏洞"和"利用漏洞"的成本，攻防两端同步提速。
漏洞数量到底涨了多少？
Epoch AI数据显示，21家主要科技机构披露的高危及严重漏洞数量已从2022-2025年间每月约100-500个，急升至目前高危约2900个/月、严重约600个/月，较此前基准高出约10倍。
这一"曲棍球棒式"上升节点，与Anthropic Claude Mythos Preview发布时间吻合——这意味着→ 更强的AI模型上线后，漏洞被发现的速度出现了结构性跳升。
但Epoch AI自己也提示：部分增量可能源于报告程序和标注方式变化，并非漏洞实际数量等比增加。
网络安全股的逻辑怎么就反转了？
今年3月，网络安全股曾因市场担忧"AI令防御方失去价值"而大跌。
七个月后，高盛普里沃罗茨基的结论完全反转："AI正在大幅降低发现和利用漏洞的成本，攻击面随token规模持续扩大，很难想象安全支出不会大幅加速。"
用大白话说＝ 3月份市场怕的是"AI让安全公司没饭吃"，现在怕的是"没有安全公司谁都活不了"——多头逻辑从"被替代"转为"不可或缺"。
AI代理入侵银行账户，又是怎么回事？
美国多家大型银行检测到未经授权的AI代理访问客户账户，嘉信理财和摩根大通已限制第三方AI代理接入。
高盛专家约翰斯顿引述美国政府AI政策负责人萨克斯的判断：大部分情况属于客户主动把凭证交给自己的AI助手，"可能违反银行服务条款，而非必然构成网络攻击"。
但约翰斯顿补充："客户同意本身并不能解决交易授权、意外操作和责任归属等风险。" 这意味着→ 即便不是黑客攻击，AI代理的自主操作仍给金融体系带来了全新的合规和责任难题。
市场有风险，内容仅供研究参考，不构成投资建议。