互联网有个“垃圾代码”问题。难得的是，这次我们不能把责任都推给AI。

我们大多数人每天都会花好几个小时上网，却很少去想支撑这一切的软件。我们默认某个地方、某个人，已经确保它们都能正常运行。

所以，本周得知其中一些软件竟然如此脆弱，很多人可能都会感到震惊。

这场被称为“黑色十月”的网络安全恐慌，引发了人们对AI驱动黑客、数字灾难的警告，甚至还有人建议囤积现金和罐头食品。

乍看之下，AI像是罪魁祸首。但这在很大程度上是一个人类制造的烂摊子。

问题在于，互联网运行在数十年的软件之上，其中一些软件存在安全弱点，而这些弱点长期被忽视、被容忍，或者干脆没有修复。

多年来，这还是一种可控的赌博。修复软件需要时间和金钱；利用那些冷门漏洞往往也需要相当高的专业能力。公司可以说服自己，这种风险不值得担心。

AI正在改变这种计算方式。过去需要多年训练才能寻找漏洞的人，现在可以借助AI模型。AI工具还能以人类无法匹敌的速度检查软件。

“在过去10年里，风险接受流程已经从一种为了让业务运转而接受风险的方式，变成了一种为永远不修复安全问题找理由的方式，”a16z合伙人Joel de la Garza和Zane Lackey周五写道。

这无疑是相当严厉的指控。结果就是，近期公开披露的漏洞数量激增。

这看起来像是AI制造了新的安全问题。但实际上，AI只是暴露了人类留下的漏洞。

“垃圾”讽刺

讽刺之处相当明显。过去几年，我们一直在抱怨“AI垃圾内容”。结果发现，人类垃圾内容也同样可能造成严重后果。

软件工程师Ben Kaufman周四在X上写道：“有趣的是，大家都说AI垃圾代码会引发网络危机，但实际上引发危机的都是那些老旧的人类垃圾代码，而AI只是把它们清理出来了。”

科技创始人Anant Jain在X上写道：“几十年来，一直是人类在编写和审查彼此的代码。如果我们真要保持智识上的诚实，并用同样的标准要求自己和AI，我们就得承认，我们在这方面也并没有做得多好。”

人类本来就会草率行事

任何和其他人类共事过十年或二十年的人，都知道这种情况是怎么发生的。

周五下午。你几乎已经完成一个项目。你可以再花几个小时把它打磨到完美，也可以宣布它已经完成了90%，然后赶去参加晚宴。我们都经历过这种时刻。

AI代理不会去参加晚宴。它们不会在周五下午感到疲惫。它们可以持续搜索、测试、再尝试。如今，这种坚持不懈正与一个由忙碌、并不完美的人类建成的互联网发生碰撞，而这些人往往只会接受“现在够用了”。

公地悲剧

不过，这里还有另一个关键问题，而且非常重要。

支撑互联网的大量软件都可以免费供任何人使用。其中一些由志愿者或少数专家维护，而巨大的科技公司却依赖它们运转。

2020年，漫画家Randall Munroe在一幅xkcd漫画中捕捉到了这种荒诞性。现代数字基础设施仍然脆弱地建立在极其微小的基础之上。

“真不敢相信这么多年过去了，这幅xkcd漫画还是这么贴切，尤其是在安全方面！”Bruno Medina在2024年4月6日转发时写道。

之所以好笑，是因为它离现实近得让人不安。拿本周涉及的具体PHP问题来说，这些缺陷已经存在多年，而PHP Foundation也承认，资源有限以及对修复方案存在分歧，导致修复被拖延。

Vercel首席产品官Tom Occhino在我最近对他的采访中提到了Munroe的那幅漫画。

他解释说，AI正在发现那些行业几十年来一直视为可靠的软件中的漏洞。

而且要说清楚：维护关键软件的志愿者不是这里的“坏人”。真正从他们工作中受益的公司，承担着更大的责任。

Occhino认为，AI也许能帮助解决它正在暴露的问题。

他谈到，Vercel内部正在讨论一个想法：建立一个基金会或联盟，为识别脆弱软件并用更安全的替代方案取代它提供资金。

“我们需要一个财团。我们需要一个联盟，”他对我说。

他建议，公司可以为这项工作贡献算力和AI工具。目前尚未正式宣布任何计划，但这个想法很有吸引力。

事实上，OpenAI的“Patch the Planet”计划就是一个可行性的例子。

与其只用AI去创造更多软件，行业也可以用它来修补已经存在的东西。

Occhino的说法很到位：公司需要少花点时间追逐新点子，多花点时间思考如何让现有系统“真正、真正地稳定运行”。

这比对互联网即将崩溃感到恐慌要好得多。

AI并没有制造出几十年积累下来的软件疏漏，是我们自己制造了它。也许现在是时候清理我们自己的“垃圾”了。