HTTP/2 修复与反思
厂商补丁、临时缓解与 AI 安全思考
F
A
厂商修复
临时缓解
AI 安全反思
点击翻页开始阅读 ↓
一、厂商修复进展
好消息！
部分厂商
已发布补丁
各服务器修复状态
服务器
状态
方案
NGINX
已修复
升级
1.29.8
，新增
max_headers
指令
Apache
已修复
升级
mod_http2 v2.0.41
，Cookie 计入限制
IIS / Envoy / Pingora
暂无补丁
截至 6月4日，暂无官方补丁
修复核心思路
通过
限制请求头数量
防御攻击，限制动态表索引引用总数，防止内存无限放大。
1
二、临时缓解措施
未修复服务器的临时防护方案
禁用 HTTP/2
：暂时回退到 HTTP/1.1，彻底杜绝攻击面
部署代理
：在前端部署严格限制头部数量的反向代理
容器限制
：通过 cgroups 限制 Worker 进程内存，确保被攻击时能及时杀死并重启
紧急建议
对于使用
Microsoft IIS、Envoy、Cloudflare Pingora
的用户， 建议立即采取临时缓解措施。在官方补丁发布前，
禁用 HTTP/2 或部署限制代理
是最有效的防护手段。
2
三、AI 驱动的漏洞发现
HPACK 炸弹
+
流控停滞
→
新攻击路径
AI 的"组合创新"
Calif 研究员通过
Codex
发现此漏洞。AI 将两个
已知十年的技术
组合成全新攻击路径——
发现新组合
！
--- AI 对安全行业的影响 ---
红队
快速生成利用代码
效率提升显著
蓝队
防御策略难自动化
防守反而更难
深度思考
AI 对红队帮助
远远大于
蓝队，修复公开后 AI 会
快速生成利用代码
，防守提效成难题。
3
四、总结与展望
漏洞本质
HPACK + 流控的组合攻击
修复方案
限制请求头数量
AI 角色
发现组合攻击路径
核心启示
这个漏洞提醒我们：
已知技术的组合
可能产生未知的威胁。 在 AI 时代，攻击者发现漏洞的速度正在加快， 防御方需要
重新审视传统安全架构
， 建立更主动的防御体系。
感谢阅读
如果觉得有用的话，欢迎点赞收藏关注！
我们下期视频再见！
4