漏洞利用已快于补丁：AI 时代的开源安全——Patrick Smyth, Chainguard

Chainguard 的 Patrick Smyth 讨论 AI 辅助攻击与供应链恶意软件浪潮，称漏洞利用平均先于补丁落地、30 天修复窗口不再适用；提出覆盖恶意软件、已知 CVE、零日和 CI/CD、开发者笔记本、agent skills 等侧门四类攻击面，并建议冷却期、加快 CVE 修复、用 SLSA 和 Sigstore 对一切签名。

AI推荐理由 会议演讲，提出 AI 辅助攻击下漏洞利用常先于补丁、30 天修复窗口失效，并归纳四类攻击面（恶意软件、已知 CVE、零日、CI/CD 与开发者笔记本及 agent skills 等侧门），建议冷却期、加速 CVE 修复、用 SLSA 与 Sigstore 签名。观点明确但多为趋势判断与厂商实践，缺少可验证数据；Chainguard 方案介绍有商业倾向。