「等高性能 AI 普及了，安全到底会有什么变化」——答案其实意外地朴素。需要的并不是什么新魔法对策，而是把那些随处可见的基本功『现在』做到位，其价值上升了。我们从防御的角度，把其中的原因，以及现在该按什么顺序夯实，梳理清楚（不涉及攻击手法）。
为什么是『现在』
AI 与其说是在『发明』攻击，不如说是在放大既有的攻击。从防御角度需要把握的，是下面这 5 个方向（都是为了防御而应当了解的趋势，不涉及手法细节）。
它们的共同点是，都把『随处可见的基本漏洞』当作入口。反过来说，越是把基本功夯实，被放大的攻击也越会被挡在入口处。「越是被往后拖的基本对策，越会最先被自动化的攻击者发现」——这就是『现在』就该做的理由。
现在该夯实的顺序（按优先级排序的清单）
从上往下。每一项都链接到本站更详细的讲解。
监控依赖关系的 CVE，并立即打补丁
清除暴露在外的机密文件
最小权限与缩小爆炸半径
加固依赖与 Git
准备好备份与恢复
这会『真实地』发生
成为本站起点的那起事故本身，就是这一切的缩影——把用 AI 写的代码公开后不久，API key 就被窃取，遭到了违规扣费。真正的原因，是把一个已公开的最高等级 CVE（CVSS 10.0）放任了数月之久。它可以作为『AI 抬高了放任成本』这个说法的具体例子来读（→ 用 AI 写的代码泄露 API key 的案例）。
接下来阅读
- 迷思篇：AI 时代有效的对策与『无效』的那些
- 基础：安全最低限度清单
- 工具：网站综合安全诊断
FAQ
Q在 AI 时代，是不是需要什么『特别的新安全对策』？
多数情况下，需要的不是什么新魔法，而是『把基本功，按正确的顺序，现在就做到位』。高性能 AI 带来的最大变化，与其说是新型弱点，不如说是攻击者能够自动、快速、大规模地找到并利用那些一直被『嫌麻烦而往后拖』的既有弱点（未打补丁的 CVE、复用的密码、一直暴露在外的机密文件）。所以正如本文所讲，按优先级夯实基本功，才是性价比最高的准备。
Q个人开发或小型网站也会被盯上吗？
会的。自动化的攻击省去了『由人来挑选目标』这道工序。它会不停地扫描整个互联网，从发现弱点的地方无差别地下手，因此与规模大小无关。『我们小，所以没事』这种想法，随着自动化、大规模化的推进会越来越站不住脚。
Q应该从哪里入手？
从本页这份按优先级排序的清单从上往下做就足够了。尤其是①依赖关系的 CVE 监控与立即打补丁、②杜绝密码复用＋MFA、③清除残留在公开目录里的机密文件，这三项效果最大，而且今天就能着手。你自己网站的现状，可以用本站的免费诊断工具来检查。