安全漏洞总体态势
2024年上半年，漏洞发现和披露速度显著加快，披露漏洞数量达到20548个，同比增长46.16%，预计全年漏洞数量将突破三万个。全球漏洞利用中，操作系统和浏览器0day漏洞数量最多，但浏览器0day漏洞占比呈下降趋势；第三方组件0day漏洞利用量上升；针对移动设备的0day漏洞近一半被用于间谍活动。已知被利用漏洞中，Microsoft和Google的漏洞最多，主要影响其Windows操作系统和Chromium V8浏览器。Microsoft的Windows操作系统已知被利用漏洞数量高达287个，位居首位。
攻防场景漏洞利用趋势
2024年典型攻防场景中，0day漏洞利用更隐蔽，主要通过逻辑类漏洞（如业务接口漏洞、认证绕过等）和传输加密类漏洞隐藏攻击特征。漏洞利用方式从战前储备0day漏洞逐渐向战前储备和后期新挖掘0day为主转变。0day漏洞主要用于获取系统权限，OA、ERP、CRM、EHR、报表等商业办公系统类0day漏洞利用频率最高。Nday漏洞利用集中在使用范围广泛的组件中，如docker、Nacos、Oracle WebLogic和JBOSS等，且工具化、集成化现象普遍。漏洞组合利用攻击效果更显著。
攻防场景下的漏洞利用路径
攻击者通过供应商源代码审计等方式挖掘漏洞进行供应链攻击，扩大攻击面。通过加密、混淆等方式改造攻击流量以绕过安全设备，边界安全对抗升级。漏洞攻击逐渐聚焦于云管平台、堡垒机、域控等集权设备。
开源软件漏洞态势
开源软件漏洞数量整体呈增长趋势，2024年上半年披露的开源软件漏洞中，高危及以上漏洞占比超过40%。开源软件漏洞最主要缺陷类型为CWE-79，近一年CWE-89上升最快。Maven仓库漏洞数量现居榜首，Github漏洞库已审核漏洞中，高危及以上漏洞占比50%。开源软件漏洞传播链长，危害性沿链逐级放大，影响范围大，持续时间长，维护成本大，责任落实难。
国外开源软件漏洞治理工作与成效
美国和欧盟纷纷出台开源政策、法律，引导开源健康可持续发展。开源软件漏洞治理标准和工具大量涌现，如OpenSSF发布的系列指南和工具。开源软件漏洞激励机制和赏金计划激发了安全研究员挖掘开源软件漏洞的热情。
我国开源软件漏洞治理挑战与机遇
我国开源软件漏洞治理面临两大挑战：国内外漏洞信息共享机制尚未完全建立，国内软件安全开发能力与治理动力不足。四大机遇：顺应国际化合作趋势，符合国内数字化建设发展的安全内需，开源人才新生力量持续注入，人工智能大模型技术兴起推动漏洞治理工作自动化、智能化和高效化。
人工智能技术对安全漏洞的影响
人工智能技术发展过程对安全漏洞利用的影响：早期以AI决策式小模型或工具参与自动化漏洞挖掘、漏洞利用等过程，提高黑客攻击效率。AI生成式大模型兴起以来，其在辅助黑客实施与安全漏洞相关的恶意行为方面的潜力引起了关注，降低了黑客攻击的技术门槛。未来AI大模型将以AI Agent模式开启人工智能自主利用漏洞完成攻击的新型攻击范式。
人工智能产品自身存在的安全漏洞风险：AI大模型发展至今，其广泛应用正推动着各行各业信息系统的智能化转型，但其中涉及的各种算法、架构、API等也可能带来一系列潜在安全漏洞风险。OWASP发布了大语言模型（LLM）应用程序的十大安全漏洞清单《OWASP TOP 10 for LLM Applications》，主要包括LLM应用安全、数据安全、系统安全和人员安全风险等问题。
人工智能技术为安全漏洞防御力提升赋能：人工智能技术可以实现在漏洞挖掘、未知漏洞猎捕、漏洞优先级排序、漏洞修复等关键环节的自动化和精细化管理，从而显著提高安全漏洞的防御能力。
安全漏洞发展趋势总结与应对措施
安全漏洞发展趋势总结：AI技术加速漏洞利用过程，第三方组件、移动设备的漏洞利用上升趋势明显，漏洞修复不彻底导致新的0day漏洞频繁出现。
开源软件漏洞治理措施建议：支撑政府加快制定开源软件漏洞风险防范相关的政策制度，推动软件供应链上下游构建开源漏洞协同治理体系，鼓励高校、科研院所与社区联合开展开源漏洞治理人才培育与评价工作，重视科研创新，加强开源漏洞系列标准、工具的研制与应用推广。
攻防场景下安全漏洞治理措施建议：提升0day高可利用漏洞的检测和防护能力，及时发现并修复通用组件Nday漏洞，采取全方位的安全防护措施，包括供应链、边界及内网的安全防护。
人工智能场景下安全漏洞治理措施建议：人工智能技术极大提升了安全漏洞防护水平，但人工智能自身带来的安全漏洞隐患仍需重点关注，生成式人工智能在安全漏洞的检测和防御领域逐渐渗透。
