公司乱成一锅粥？先搞定这3个关键问题就够了

这个数字应该让你睡不着觉（但原因跟你想的不一样）

先说个数字：974。

这是微软今年9月一天之内修复的安全漏洞数量。其中100多个被标记为"严重"。2026年才过完9个月，微软已经修了两千七百多个漏洞。按这个速度，全年破三千不是问题。

但真正让我睡不着的是这个：其中有两个漏洞，在补丁还没做出来的时候，已经被攻击者利用了。

更离谱的是，这两个漏洞都不是"严重"级别。它们只是"重要"。

一个藏在Windows更新堆栈里。另一个在什么高级本地过程调用里。两个都能让已经混进你电脑的黑客直接拿到管理员权限。

如果你只看微软的严重等级来决定先修哪个，这两个你可能就直接跳过了。

所以真正的问题是什么？不是你能不能每个月消化一千个补丁。坦白说，大多数小企业做不到。

真正的问题是：你知道自己有什么资产吗？

---

为什么你的邮箱突然被补丁通知轰炸

说个让我挺意外的事。软件并没有变得更差。这些漏洞不是突然冒出来的，也不是因为程序员变懒了。很多漏洞在代码里躺了好几年，有的甚至十几年了。

变化在于：人工智能。

微软、谷歌、Adobe、思科、Mozilla、甲骨文，都在用AI工具扫描几百万行代码找漏洞。速度是人工研究员永远跟不上的。光是谷歌的AI系统，在两个Chrome版本里就修了一千多个安全漏洞，比之前两年的总和还多。

Zero Day Initiative的达斯汀·蔡尔兹把这叫做"新常态"。说实话，我觉得他说得对。别指望这些数字会降回几年前的水平。

这是坏消息吗？ 大体上不是。更多漏洞被好人发现和修复，这是好事。补丁潮并没有伴随着攻击潮——至少目前还没有。

但问题来了：如果真的有人把某个漏洞武器化，从漏洞曝光到被利用的时间窗口，正在变得越来越短。以前这个窗口够你慢慢打补丁。现在？可能连喝完一杯咖啡的时间都不够。

---

没人提的可见性问题

想象一下这个画面。

补丁星期二（或者微软现在随便哪天心情好就发布更新的日子）。你打开管理控制台，看见50个更新在等着。可能100个。可能更多。你打算怎么办？

如果你是大多数小企业的做法，你大概会先处理标记"严重"的，然后往下走，剩下的听天由命。或者直接全部设成自动更新，觉得这就够了。

这个做法的问题在哪："严重"不等于"一定会害你"，"重要"也不等于"无所谓"。

Windows服务器上的DNS漏洞，如果你跑着Windows服务器，那是灾难性的。如果你不跑，那跟你一点关系没有。但如果你不知道自己到底有没有跑Windows服务器——老实说，多少小老板能脱口而出？——那你这安全打法就是在蒙着眼睛打地鼠。

我跟很多小企业聊过，大多数都没有一份靠得住的资产清单。有多少台笔记本在流转？哪些还在正常接收安全更新，哪些跑的系统早在2017年就停止支持了？跑了什么服务器软件，上次维护是什么时候？有没有什么老手机还挂着公司邮箱的权限？

以前补丁数量少的时候，模糊覆盖还能凑合过。猜个大概也够用了，因为总量小，保持大致更新跟保持真正更新差不多。

但现在一个月一千个补丁，猜就没用了。你没法在一堆你根本没量过的草垛里挑针。

---

没人想聊的资产清单

这个问题的解法一点都不酷：列个清单。

我知道，我知道。这听起来一点都不像网安界的超级英雄披风。但听我说完。

资产清单听起来很无聊，直到你意识到它能干什么。它把一个处理不过来的大数字（这个月974个补丁！）变成一个小数字（真正适用于你系统的只有三个）。它让后面所有安全决策的成本都降下来，因为你不用再瞎猜了。

你不需要什么花里胡哨的工具。从简单的来。你的网络上连着哪些设备？跑着什么软件？哪些是真的在用的，哪些就是装完就再没动过的？说的简单就是简单。表格就行。绕着办公室走一圈记下来也行。重点是你真的去做，而且有变化的时候更新它。

能handle这个新常态的企业，不是打补丁最快的那些。是能回答一个基本问题的那些：我们跑着什么，在哪儿？

---

你的AI工具现在也是攻击面的一部分

有个事你可能没想过：你的AI助手是软件。软件有漏洞。漏洞能被利用。

想想这些工具能接触什么。一个copilot能访问你的邮箱、文件、客户数据库——这跟一个表格程序的风险程度完全不是一个量级。这些工具能读你的邮件，替你起草回复，越来越能根据看到的内容自动执行操作。

小企业用AI工具几乎是自然而然的。有人装了个好用的浏览器插件。有人接了个会议笔记工具到公司日历。有人为了省一个下午的功夫，给一个助手开了共享硬盘的权限。

每一个决定在当时都完全合理。

落后的是记录这件事。大多数老板被问到公司里用了哪些AI工具、这些工具能接触到什么数据时，都会陷入沉思。

这是影子AI，是打着你名字的可见性黑洞。

解法不是惊慌失措把AI工具全禁了——有些真的很好用，而且你的竞争对手八成也在用。解法是把它加到我们刚才说的那个无聊表格里。这个工具连着什么，能看见什么？

---

对你意味着什么

最后总结点实际的东西。

补丁潮不会停。AI辅助的漏洞发现会一直存在，而且这大体上是好事——被堵上的洞比以往任何时候都多。但这改变了小企业做安全的方式。

你没法靠数量堆补丁来扛过这一关。你没法看完每条安全公告然后对所有漏洞做判断。一天没那么多小时，而且说实话，大多数人也不是安全研究员。

你能做的是：认真搞清楚自己有什么资产。 把那个资产清单建起来。不需要很花哨，存在就行。

一旦你知道自己在跑什么，那堆补丁洪流就突然变成了一条可以handle的小溪。你可以忽略那些跟你没关系的漏洞，把精力真正放在那些跟你有关的上面。

看不见的东西没法打补丁。 这是网络安全最老生常谈的建议，但从来没有哪个时刻比现在更需要它。

草垛越来越大。知道你自己的针在哪儿，这事儿从来没这么重要过。

Tags: ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']