AWS 把漏洞修复做成自动提 PR 了：Continuum 正式 GA，先沙盒验证可利用再动手

AI 写代码的下一步，是 AI 修代码——而且是“修得让你放心”的那种。AWS 10 月 22 日把 Continuum for code vulnerabilities 推到 GA（正式可用）：它先给你的 AWS 环境画一张“上下文图”（资源拓扑、身份关系、网络可达性），吃进现有扫描器的告警，再扫代码，然后在隔离沙盒里实际验证“这个漏洞到底能不能被利用”，按业务影响排优先级，最后把修复做成 pull request 直接开到你的 GitHub 工作流里，附带可利用性证据和爆炸半径评估。

流程设计得很克制：起步是 Learn 模式——只提议、不动手，每个修复都要人点头；等你对它的准确率有信心了，再切到 Enforce 模式，在你设的护栏内自主执行。配合 GuardDuty 和 Security Hub 一起用，GA 首批只在美东（北弗吉尼亚）和美西（俄勒冈）两个区。

为什么值得看：这是对“扫描器疲劳”的正面回答。传统流程是：扫描器报 500 个告警，安全团队人肉挑 10 个真有事的。Continuum 把“验证可利用性”这一步自动化了——先证伪，再修。对照着看很有意思：前天 Cloudflare 把内部漏洞挖掘流程开源成了 skill（防守方 skill 化），AWS 则把它做成了云服务（防守方服务化）。两种形态，同一条路：安全 agent 从“报 bug”进化到“证伪+修复+提 PR”的闭环。

实话实说：AWS 官方口径称 Continuum 在 CyberGym-E2E（920 个真实开源项目漏洞任务）上端到端成功率 89.0%——这是公司自报成绩单（benchmark 方法论公开），引用时按“单方说法”理解；GA 公告没给价格、没列支持的语言，生产库先用 Learn 模式跑，别一上来就开 Enforce（未经实测，个人判断）。