Epic暂停核心开发以修补AI挖出的“隐形”漏洞，医疗数据防线再敲警钟

【科技24时区】当软件巨头Epic按下产品开发的“暂停键”，这并非寻常的技术迭代休整，而是一场针对潜在数据危机的紧急防御。作为支撑美国超过3.2亿份患者病历的MyChart系统背后的技术支柱，Epic此举折射出医疗信息化领域在AI时代面临的全新安全悖论：防御工具的进化，反而让攻击者的门槛变得模糊不清。

据现代医疗（Modern Healthcare）报道，Epic创始人兼首席执行官朱迪·福克纳（Judy Faulkner）上月透露，公司预计将暂停大部分产品开发工作约六周，全力投入对现有软件及系统的“加固”。这一决策的直接导火索，是Anthropic推出的前沿网络安全模型“Mythos”在测试中挖掘出了严重的安全缺陷。这些漏洞若被利用，可能导致未经授权的外部人员访问患者敏感数据。值得注意的是，尽管Epic并未公开漏洞的具体技术细节，但其首席安全官斯特林·马丁（Stirling Martin）向《纽约时报》证实，部分客户的MyChart配置存在隐患，允许外部人员在软件日志中不留任何痕迹的情况下访问患者记录。

这种“无日志入侵”的特性尤为令人担忧。马丁虽未回应TechCrunch的置评请求，但他向媒体指出，虽然AI模型未明确判定该漏洞是否可用于篡改病历而不被发现，但仅凭其隐蔽性，已足以构成必须立即修复的高危风险。从某种角度看，这暴露了传统安全审计机制在面对新型AI辅助渗透时的盲区——如果连系统自身都无法记录入侵行为，事后追溯与责任认定将变得极其困难。

需要厘清的是，Epic方面强调，公司本身并不持有或访问客户的医疗数据，这一责任完全归属于医院和诊所等医疗服务提供商。然而，一旦底层架构存在未被察觉的通用型漏洞，黑客便可能通过攻陷分布在全美各地的多个受影响的MyChart系统，进而批量窃取存储其中的海量数据。这种系统性风险远比单点突破更具破坏力。

在软件开发行业，因安全漏洞而全面暂停开发实属罕见。但近年来，随着能够迅速发现并利用安全弱点的AI工具日益普及，业界对于“攻击者优势扩大”的焦虑感显著上升。医疗数据因其极高的黑市价值，正成为网络犯罪分子的重点目标。黑客往往假定医疗机构为避免声誉受损和数据公开，愿意支付高额赎金。

回顾近年来的安全态势，这种假设屡被验证。2024年，隶属于联合健康集团（UnitedHealth）的医疗科技公司Change Healthcare遭遇勒索软件攻击，导致超过1.92亿人的健康数据被盗，几乎覆盖美国大半人口。据悉，该公司曾两次向黑客支付赎金以阻止数据泄露。进入今年，医疗与科技领域的连环数据 breaches 更是此起彼伏：电子健康数据存储巨头CareCloud、医药分销商McKesson以及业务遍及北美的英国健康科技公司Craneware，均遭受了涉及数百万甚至更多患者数据的盗窃事件。

截至发稿，美国卫生与公众服务部（HHS）已将牙科保险公司DentaQuest的数据泄露事件列为2026年至今规模最大的医疗相关数据泄露案，受影响人数达1500万。在这一背景下，Epic的“停摆”不仅是企业层面的自救，更是对整个医疗IT生态的一次警示：当AI成为攻防双方的共同武器，传统的边界防御思维或许已不足以应对当下的威胁格局。