漏洞披露數量翻倍，唔等於攻擊同步暴增

Google威脅情報團隊（GTIG）的分析顯示，2026年1月至8月，軟件漏洞每月披露數量逾倍；同期觀察到遭攻擊者利用的漏洞亦有增加，但升幅較披露數字慢。AI協助發現的漏洞，類型分佈亦有所不同，包括較高比例可導致遠端程式碼執行。這些數據未能證明整體升幅有多少是單由AI造成。 317

漏洞披露升得快，遭利用漏洞升得較慢

每月披露的漏洞，由2026年1月的5,045個升至8月的10,740個。GTIG在2026年首八個月記錄到141個不同漏洞遭到利用；2025全年則有127個。每月平均遭利用的漏洞數目，亦由2025年的10.5個升至2026年1月至8月的18個。 3

不過，兩組數字講緊唔同嘢：漏洞披露數字，是指公開公布的漏洞；遭利用漏洞數字，則是指被觀察到攻擊者曾利用的不同漏洞。它們都不是攻擊次數，也不是受害者人數。披露漏洞增加，唔代表新公布的漏洞有相同比例正被攻擊。 3

數據反映漏洞發現和遭利用的情況都有上升，但無法單獨證明AI是兩者升幅的成因。GTIG的分析指出AI對漏洞發現的影響日增，亦改變部分漏洞的風險特徵；但未有精確計算AI對整體數字的貢獻。 329

AI協助發現的漏洞，風險特徵有何不同？

GTIG判斷為「很可能由AI發現」的漏洞中，約一半可導致遠端程式碼執行（RCE）；其他漏洞中，比例約為26%。RCE代表攻擊者可能在有漏洞的系統上執行程式碼，因此後果可以相當嚴重。不過，「很可能由AI發現」是對漏洞來源的判斷，並不表示每個漏洞都是AI自行獨立發現。 1723

風險評級亦要分開理解。報道引述GTIG分析指，在很可能由AI發現的漏洞中，58%屬中等風險；其他披露漏洞中則為28%。高風險漏洞只佔約4%，與非AI組別相若。另一方面，按GTIG自己的評級，高風險漏洞披露數目由1月的131個升至8月的350個；這是整體披露數字，並非只計AI相關漏洞。 232829

零日漏洞以外，已知漏洞亦不可忽視

「零日漏洞」是指修補程式尚未推出，漏洞已遭利用。「N日漏洞」則是已公開的漏洞，往往已有修補程式，但未更新的系統仍可能受攻擊。

GTIG指，零日漏洞每月平均遭利用數目，由2025年的約8個升至2026年1月至8月的約11個，升幅較整體漏洞利用情況溫和。這反映風險不只來自新近被利用的零日漏洞；漏洞公開後，攻擊者亦可能針對仍未更新的系統下手。不過，這些數字未有說明N日漏洞遭利用的情況，有多少是AI促成。 329

GTIG亦曾發現一名犯罪者持有零日漏洞利用工具，並認為該工具可能由AI協助開發。對方計劃發動大規模攻擊，但GTIG表示，主動發現該工具或已阻止其計劃中的使用。這是AI參與漏洞利用開發的個別例子，並非AI造成整體漏洞利用數字上升的證明。 7

AI相關軟件本身亦可能成為攻擊目標

GTIG指出，用來開發及部署大型語言模型（LLM）的軟件生態，本身亦已成為被利用的目標。企業應將AI元件和服務視為正式生產環境的一部分，納入攻擊面管理；至於個別漏洞，則應按系統是否暴露、可能造成的影響，以及有沒有遭利用的證據評估。 1

防守方和軟件供應商可以點做？

**防守方：**唔好只看漏洞披露數量排優先次序。應先評估受影響系統有沒有對外開放、漏洞可能造成甚麼影響，以及有沒有遭利用的證據。盤點面向互聯網的系統和已部署的AI軟件，盡快安裝現有修補程式；如漏洞在修補程式推出前已遭利用，亦要預先準備監察措施和緩解方案。對已公開的漏洞，應縮短由披露到修補的時間。 389

**軟件供應商：**可用AI輔助測試配合人工審查，在產品推出前找出並驗證漏洞。亦要把AI元件當作生產軟件一樣做好安全管理，並及時提供修補程式和清晰可行的安全通告，方便客戶判斷風險和更新。GTIG的分析提醒業界，既要留意漏洞發現數量，也要看漏洞可能造成的影響。 48