AI 的出現與進步，不僅改變了軟體開發的進程，同時也讓資安領域處於一個轉折點，因為駭客們也擁有了比過往更強大的武器。
過去，我們尋找漏洞就像在沙洲中手工挖掘寶石，需要極高的門檻與漫長的時間。但隨著 Anthropic 發布「Project Glasswing」以及像 Claude Mythos Preview 這樣具備強大網路安全能力的模型問世，遊戲規則已經被徹底改寫。
AI 讓漏洞挖掘從「手動挖掘」進化為「全自動掃描」。對於防禦者來說，這是一個警訊：AI 大幅縮短了攻擊者所需的資源與時間。未來 24 個月內，那些隱藏在程式碼中多年、未曾被發現的漏洞，將會被 AI 大規模地挖掘並串聯成攻擊鏈。
當駭客的速度提升十倍，我們的防護體系卻還停留在「手動流程」，那無異於用肉身對抗全自動步槍，甚至是大砲一般的存在。
縮短補丁差距：與 AI 的賽跑
AI 極其擅長「機械式分析」，它能迅速將官方發布的補丁進行逆向工程，推導出攻擊程式。這意味著「補丁差距 (Patch Gap)」——從補丁發布到被利用的時間窗——正在急劇縮小。這就像是你家裡的圍欄破了一個洞，以前壞人可能要走很久才會路過發現；現在壞人有一架無人機（AI），補丁一公佈，無人機一秒鐘就能掃描全鎮，找到所有破洞的圍欄。
那我們可以做什麼呢？
- 優先處理 KEV： 立即修補 CISA「已知被利用漏洞目錄 (KEV)」中的項目。
- 理解 EPSS 的機率意義： 利用漏洞利用預測評分系統 (EPSS) 來管理資源。記住，EPSS 提供的是該漏洞在未來 30 天內被利用的「機率」，這能幫你將數千個 CVE 轉化為可控的優先級隊列。
- 時限要求：
- 面向網際網路的系統：漏洞公開後 24 小時內完成修補。
- 其他內部系統：數日內完成。
- 全面自動化： 開啟雲端或 OS 廠商提供的自動更新。在 AI 時代，「延遲」本身就是最大的風險。
迎接海量漏洞：別用雨傘應付洪水
未來兩年，漏洞報告的數量將呈指數增長。身為工程師必須意識到：「如果我們的安全會議仍然圍繞著試算表和每週會議進行，那麼絕對跟不上駭客的速度。」
當駭客利用 AI 來擴增攻擊的速度與力道時，我們也可以把 AI 當作強化盾牌，自動來抵禦這些來自外部的惡意，其中需要升級的關鍵技術包含：
- AI Vendoring (AI 代管)： 對於那些 OpenSSF Scorecard 分數極低、乏人維護的小型依賴庫（Dependency），別再冒險使用了。考慮利用 LLM 重新實作你真正需要的核心功能，這比背負一個不安全的黑盒子更明智。
- 清理冗餘依賴： 許多大型專案會包含多個功能重疊的程式庫（如三個不同的 HTTP client）。利用 LLM 掃描鎖定檔（lockfile），識別並遷移到統一的安全依賴上。
- 自動化回歸測試： 建立持續交付流程，確保補丁能快速通過測試並上線。
上線前先抓蟲：預防勝於治療
防禦的成敗取決於「設計安全 (Secure by Design)」。假設所有進入生產環境的程式碼最終都會被 AI 挖出漏洞，因此防護必須向左移（Shift Left）。
- 整合 SLSA 框架： 採用 SLSA (Supply-chain Levels for Software Artifacts) 確保建置管道的安全。例如使用 OpenSSF 發布的 GitHub Actions 工作流來生成 Level 3 的認證。
- 靜態分析與 AI 輔助審核： 在 CI 流程中引入 CodeQL 或 AI 掃描。當掃描器發現問題時，LLM 可以直接生成補丁，將你的工作從「寫修復方案」轉變為「審核修復方案」。
- 轉向記憶體安全語言： 新專案應優先選用 Rust 或 Go。對於現有的 C/C++ 模組，可以考慮利用 LLM 輔助將其遷移至記憶體安全的架構。
挖掘陳年舊帳：檢查被遺忘的角落
AI 不僅看新程式碼，它更擅長翻找那些多年未動的老舊系統（Legacy Code）。這些程式碼雖然穩定，但通常從未接受過 AI 等級的安全性洗禮。這就像那些舊的公寓大樓，雖然仍然看起來堅固可住。但結構深處可能早就被侵蝕，應該要利用 AI 找出破舊之處並進行補強。
我們應該優先檢查處理「外部不可信輸入」或負責「身份驗證」的老舊服務，這些事情交由 AI，能夠在一個下午內發現人類審核者多年遺漏的盲點。
預設「已被入侵」：轉向硬體級防禦
在 AI 時代，依靠增加「操作難度」或「摩擦力」來防禦（如非標準連接埠、簡訊驗證）已宣告失效，因為 AI 擁有無限的耐心。我們需要的是**「物理性」的絕對阻隔**。
「防禦措施若只是讓攻擊變得繁瑣，AI 很快就能克服。我們需要的是硬屏障 (Hard Barriers)。」
- 放棄密碼，擁抱硬體： 轉向 FIDO2 或 Passkeys 等硬體驗證。即使攻擊者拿到了密碼，沒有物理金鑰也無法越雷池一步。
- 身份感知存取代理 (Identity-aware access proxy)： 這是實現零信任的捷徑。不論是在雲端還是地端，為內部服務加上一層設備驗證與 MFA 門戶。
- 短期令牌： 用短期、窄範圍的令牌取代永久性的 API Key。
縮減戰場：關掉不需要的窗戶
你無法保護你不知道的東西。駭客會利用 AI 進行大規模自動化偵查，找出你遺忘的資產，如同你家造了 10 扇窗戶，平常卻只用到 2 個，那就把剩下的 8 扇窗封死，這樣每天只需要關心檢查僅有的 2 扇窗。
同時我們也可以：
- 自主外部紅隊演習： 主動部署一個 AI 攻擊代理，從外部對自己的邊界進行偵查。這能發現那些遺忘的主機、預設認證或配置錯誤的存儲桶。
- 利用 AI 修剪代碼： 讓 AI 分析流量日誌，找出那些「有程式碼但零流量」的過期 API 端點，並直接將其移除。
極速應變：AI 擔任資安哨兵
和過往不同，現在當攻擊發生時，回應時間必須以「分鐘」計。
- 分流代理人 (Triage Agent)： 讓 AI 站在警報處理的第一線，實現 100% 的警報覆蓋率。它能初步排除雜訊，將真正的高風險事件交由人類決策。
- 事故紀錄自動化： 在應變過程中，讓 AI 擔任「書記官」，負責記錄時間線、蒐集證據並撰寫初步報告，讓人類專家專注於處置決策（如切斷連線）。
- 極限演習： 定期執行「五項重大事故同時發生」的桌上演習。在 AI 時代，這不是極端假設，而是很有可能發生的現實。
如何專業地提交漏洞報告
如果我們利用 AI 發現了依賴庫或廠商的漏洞，請記住： maintainers 正被大量的 AI 噪音淹沒。
- 純文字描述影響： 第一段就讓對方明白哪裡壞了。
- 提供 reproduction： 一個可執行的 PoC (Proof of Concept) 勝過千言萬語。
- 公開 AI 參與： 第一行就聲明使用了 AI 輔助，建立誠信。
- 自我檢查： 如果你沒法不看 AI 輸出就解釋清楚漏洞，代表你還沒準備好回報。
在 AI 時代，速度就是一切，AI 為駭客裝上了噴射引擎，但這具引擎同樣可以安裝在我們作為防禦者的戰機上。在 AI 時代，資安防禦的成敗不再取決於你的防火牆有多厚，而取決於你的自動化深度，現在就開始行動，別讓你的盾牌還停留在石器時代。