双地震：当信任崩溃和帝国转移时
技术格局正在经历重大变革。一方面，支撑我们企业的数字基础设施面临着大量被积极利用的漏洞。与此同时，科技力量的地理格局正在发生变化，纽约市日益挑战硅谷作为美国科技人才中心的长期主导地位[1]。这些发展并不是孤立的；它们标志着一场深刻的系统性转变，需要对信任、韧性和创新的未来进行根本性的重新评估。
漏洞攻击：信任危机
近几个月来，主要技术提供商面临着重大的安全挑战。苹果、微软和思科等通常被视为数字基础设施支柱的公司已经披露了被积极利用的漏洞和严重缺陷。这些并不是理论上的风险，而是实际存在的风险。它们对全球组织构成直接威胁。
苹果最近解决了多个被积极利用的漏洞。例如，“CVE-2023-42916”和“CVE-2023-42917”这两个 WebKit 缺陷都在野外被积极利用，影响了 iPhone 和 iPad [2, 3]。这些漏洞强调，即使是严格控制的生态系统也容易受到复杂的攻击。对于数百万用户来说，这意味着经常用于访问公司网络的个人设备可能成为直接的攻击点。这种情况凸显了传统网络边界的侵蚀，使每个员工的设备都成为攻击者的潜在入口点。
微软还面临着重大的安全挑战。 “CVE-2023-36025”漏洞是 Windows Defender SmartScreen 绕过漏洞，已被积极利用，允许攻击者绕过安全功能 [4, 5]。针对基础安全产品的此类攻击表明迫切需要在 Windows 环境中立即修补。 Microsoft 的定期补丁星期二更新通常会解决数十个漏洞，反映了保护其庞大生态系统所需的持续努力[6]。人工智能在漏洞发现中的使用越来越多，虽然有望识别缺陷，但也凸显了安全问题的复杂性和数量不断增加，即使是先进的工具也难以管理[7]。这表明漏洞发现和利用的速度可能超过传统的人类主导的防御工作。
网络基础设施的主要提供商思科也发布了针对严重漏洞的公告。例如，“CVE-2023-20198”是 Cisco IOS XE Web UI 中的一个权限升级缺陷，已被积极利用，并被分配了 10.0 的 CVSS 分数 [8, 9]。完美的 CVSS 分数表明最大的严重性和潜在影响，通常具有直接的可利用性。对于依赖思科基础设施的组织来说，此类漏洞需要紧急修补和缓解，以防止广泛的网络受到损害。
这些行业领导者普遍存在高严重性、被积极利用的漏洞，这表明维持对核心技术供应商的信任面临系统性挑战。它凸显了一种普遍存在的威胁形势，即使是资源充足的公司也难以领先于老练的攻击者。对于技术领导者来说，这种情况需要立即采取行动：优先考虑修补和缓解，并从根本上重新评估供应链安全和供应商依赖性。这些并不是理论上的风险，而是实际存在的风险。它们是需要紧急关注的主动攻击[10]。
帝国转变：纽约的影响力与日俱增
在数字基础设施面临安全挑战的同时，科技人才的地理分布也正在发生重大转变。纽约市最近被确定为北美顶级科技人才市场，超过湾区[11]。这标志着数十年来硅谷无可争议的人才、资本和创新中心的显着转变。
这种转变对技术专业人士和组织具有深远的影响：
- 人才获取： 湾区的公司可能会经历日益激烈的竞争和潜在的人才迁移，而总部位于纽约的公司可以获得更深入、更多样化的人才库[11]。这就需要重新评估薪酬、福利和公司文化。
- 职业流动性： 对于科技专业人士来说，纽约提供了一个引人注目的选择，可能提供不同的工作与生活平衡、更广泛的行业焦点（金融科技、媒体、时尚科技、人工智能），以及与湾区的高费用相比不同的生活成本动态[11]。
- 创新中心： 技术权力的分散可以培育新的创新中心，从而可能挑战硅谷有时特有的单一文化。风险投资和创业生态系统可能会越来越向东看[11]。
在独特的科技文化和不断上升的成本的推动下，湾区长期以来的主导地位正在受到挑战。纽约的崛起表明美国科技行业的成熟，正在朝着更加分散和具有潜在弹性的模式发展，而不是单一的地理中心。
相互关联的挑战：脆弱性、人才和人工智能悖论
这两个看似不同的发展——持续的安全挑战和技术人才的地理转移——是相互关联的。它们揭示了更深层次的系统脆弱性，并强调迫切需要采取新的技术领导方式。
当前的安全形势需要卓越的人才水平：高技能的安全工程师、威胁猎手和事件响应人员，不仅能够修补，而且能够预测、创新和防御复杂的、被积极利用的威胁。历来吸引顶尖人才的传统科技中心现在面临着吸引力的转变。一个关键问题是，像纽约这样的新兴技术中心是否能够培养应对复杂漏洞所需的深厚、专业的安全工程人才，或者更广泛的人才分布是否会稀释这些关键战斗所需的现有专业知识库。
人工智能的作用呈现出复杂的动态。虽然人工智能驱动的系统越来越多地用于漏洞发现和防御 [7]，但人工智能本身也引入了新的攻击面、复杂性以及对安全团队的要求。旨在增强安全性的工具也有助于不断变化的威胁形势。确保人工智能驱动的世界的安全需要大量的专业人才——这些人才了解对抗性机器学习、即时注入以及大型语言模型的固有偏见和弱点，超越传统的编码技能。
事实证明，集中技术力量的传统模式依赖于少数单一供应商来确保安全并将人才集中在昂贵的、孤立的中心。持续存在的漏洞挑战表明，对主要供应商的隐含信任不再是足够的安全策略。向纽约等中心的转变代表着更广泛的权力下放，如果管理得当，可以培育一个更具弹性和多样化的科技生态系统。
对于技术领导者来说，信息很明确：
- 重新评估供应商信任： 仅仅依靠供应商安全是不够的。组织必须承担潜在的妥协，建立分层防御，并要求技术合作伙伴保持透明度。
- 优先考虑分布式人才获取： 技术人才的竞争是全球性的、分布式的。超越传统中心，投资远程工作基础设施，并实施多样化的招聘策略，以接触顶尖的安全和工程人才。纽约的发展表明人才正在寻求新的环境和挑战。
- 战略性整合人工智能： 利用人工智能的防御能力，但批判性地了解其局限性及其引入的新攻击向量。投资于能够保护人工智能系统安全的团队，而不仅仅是部署它们。
科技行业正处于关键时刻。数字基础设施面临持续的威胁，传统的技术力量中心正在不断发展。适应、拥抱权力下放并积极投资于弹性系统和多元化人才的组织将能够更好地应对这些变化，并为未来构建安全、创新的技术。
来源
[1] 世邦魏理仕，“2023 年科技人才评分”，2023 年 10 月。网址：https://www.cbre.com/insights/reports/scoring-tech-talent-2023 [2] Apple 支持，“关于 iOS 17.1.2 和 iPadOS 17.1.2 的安全内容”，2023 年 11 月 30 日。URL：https://support.apple.com/en-us/HT213984 [3] CISA，“已知被利用的漏洞目录”，CVE-2023-42916、CVE-2023-42917。网址：https://www.cisa.gov/known-exploited-vulnerability-catalog [4] Microsoft 安全响应中心，“CVE-2023-36025 | Windows Defender SmartScreen 安全功能绕过漏洞”，2023 年 11 月 14 日。URL：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36025 [5] CISA，“已知被利用的漏洞目录”，CVE-2023-36025。网址：https://www.cisa.gov/known-exploited-vulnerability-catalog [6] Microsoft 安全响应中心，“2023 年 11 月安全更新发行说明”，2023 年 11 月 14 日。URL：https://msrc.microsoft.com/update-guide/releaseNote/2023-11 [7] IBM Security，“人工智能在网络安全中的作用：机遇与挑战”，2023 年。URL：https://www.ibm.com/blogs/security/2023/08/the-role-of-ai-in-cybersecurity-opportunities-and-challenges/ [8] 思科 Talos Intelligence Group，“思科 IOS XE Web UI 权限升级漏洞”，2023 年 10 月。URL：https://talosintelligence.com/vulnerability_reports/TALOS-2023-1857 [9] CISA，“已知被利用的漏洞目录”，CVE-2023-20198。网址：https://www.cisa.gov/known-exploited-vulnerability-catalog [10] CISA，“已知被利用的漏洞目录”。网址：https://www.cisa.gov/known-exploited-vulnerability-catalog [11] 彭博社，“纽约市现在是北美顶尖的科技人才市场”，2023 年 10 月 26 日。网址：https://www.bloomberg.com/news/articles/2023-10-26/new-york-city-is-now-the-top-tech-talent-market-in-north-america