Unit 42 報告指，NOVA 喺兩個月內分析咗 3,915 個開源項目，發現 14,090 個此前未被發現嘅漏洞。Unit 42 表示，當中 99.4% 之前未有被報告，而約 40% 被評為高或者嚴重級別。

NOVA 嘅意義唔只係數量大。相關結果顯示，當中好多係語意或者邏輯漏洞，而唔係傳統自動化分析較常針對嘅記憶體損壞問題。例子包括權限控制出錯、路徑處理問題、伺服器端請求行為，以及程式碼注入防禦不足；要判斷呢類問題，通常要先理解應用程式本來應該點運作。

同 AVDH 一樣，以上數字都係供應商報告。所謂「此前未被發現」，本身唔足以證明每一個結果都係實際可利用嘅 zero-day；嚴重程度亦可能受採用嘅評分框架影響。較穩妥嘅結論係：多模型代理系統開始有能力，大規模搵出傳統審查流程未必可以咁快處理嘅安全候選問題。

搵到漏洞快，點解仍然未夠？

更快發現漏洞，可以提升防守能力；但如果企業仍然要等好耐先完成修補，危機反而可能擴大。CERT-EU 引述一個估算，漏洞平均被利用時間係 負 7 日，意思係攻擊有機會喺修補程式廣泛推出之前已經開始。

呢個指標改變咗修補嘅角色。永久程式碼修正當然仍然必要，但未必再係第一步，亦未必係唯一有用嘅防守措施。當開發者調查問題、測試修補、協調披露，再分階段部署期間，安全團隊需要先降低系統暴露程度。

Palo Alto 以網絡層「虛擬修補」爭取時間

Palo Alto 嘅 Frontier AI Critical Defense Program，就係針對呢個時間差而設。計劃希望聯繫 AI 實驗室、商業軟件及開源組織，同埋營運技術（OT）、醫療等關鍵基礎設施相關行業，一齊部署網絡層「虛擬修補」，喺永久軟件修正推出之前，先阻擋漏洞流量或者濫用協議行為。

Palo Alto 表示，其 Advanced Virtual Patching 可以喺幾個鐘內部署防護；相比之下，公司引用嘅傳統修補行業平均時間係 55 日。

但虛擬修補應該理解為一種補償性控制措施，唔係修補漏洞程式碼嘅替代品。佢有冇效，取決於安全團隊能否準確掌握攻擊路徑，以及網絡控制能否封住嗰條路而唔影響正常活動。遇到經由受信任渠道發動嘅攻擊、加密流量、本機權限提升，或者難以同正常使用區分嘅行為，防護覆蓋亦可能有限。

防守方有冇機會重新取得優勢？

有可能，但唔係單純加裝一個 AI 掃描器就得。

較完整嘅防守架構，應該將以下幾個階段串成一個運作循環：

1. 繪製程式碼及攻擊面，令代理理解系統實際做緊乜。
2. 建立並審閱威脅模型，先至進行大規模漏洞假設生成。
3. 使用多個代理及模型，由唔同角度搜尋，並互相挑戰較弱嘅發現。
4. 重現及排序漏洞，由人手專家根據證據判斷係咪真係可以利用。
5. 按適當協調流程披露漏洞並開發永久修補。
6. 即時控制暴露面，利用網絡控制或其他補償措施爭取時間。
7. 部署修補後重新驗證，確保問題真係解決。

AVDH 同 NOVA 帶出嘅戰略訊息係：優勢來自協調同編排，而唔係模型單獨輸出一堆結果。AI 可以壓縮發現同驗證所需時間，但防守方仍然需要可信證據、審慎排序、具韌性嘅架構，以及一套可以以相近速度落地嘅部署系統。

攻擊者同樣可以使用類似模型，而虛擬修補亦係暫時性、受覆蓋範圍限制嘅措施。所以，現實目標唔係消滅 zero-day 風險，而係令由發現、封堵到永久修補嘅整個防守循環，比攻擊者由搵到漏洞到正式利用漏洞更快、更可靠。

Unit 42 報告指，NOVA 喺兩個月內分析咗 3,915 個開源項目，發現 14,090 個此前未被發現嘅漏洞。Unit 42 表示，當中 99.4% 之前未有被報告，而約 40% 被評為高或者嚴重級別。

NOVA 嘅意義唔只係數量大。相關結果顯示，當中好多係語意或者邏輯漏洞，而唔係傳統自動化分析較常針對嘅記憶體損壞問題。例子包括權限控制出錯、路徑處理問題、伺服器端請求行為，以及程式碼注入防禦不足；要判斷呢類問題，通常要先理解應用程式本來應該點運作。

同 AVDH 一樣，以上數字都係供應商報告。所謂「此前未被發現」，本身唔足以證明每一個結果都係實際可利用嘅 zero-day；嚴重程度亦可能受採用嘅評分框架影響。較穩妥嘅結論係：多模型代理系統開始有能力，大規模搵出傳統審查流程未必可以咁快處理嘅安全候選問題。

搵到漏洞快，點解仍然未夠？

更快發現漏洞，可以提升防守能力；但如果企業仍然要等好耐先完成修補，危機反而可能擴大。CERT-EU 引述一個估算，漏洞平均被利用時間係 負 7 日，意思係攻擊有機會喺修補程式廣泛推出之前已經開始。

呢個指標改變咗修補嘅角色。永久程式碼修正當然仍然必要，但未必再係第一步，亦未必係唯一有用嘅防守措施。當開發者調查問題、測試修補、協調披露，再分階段部署期間，安全團隊需要先降低系統暴露程度。

Palo Alto 以網絡層「虛擬修補」爭取時間

Palo Alto 嘅 Frontier AI Critical Defense Program，就係針對呢個時間差而設。計劃希望聯繫 AI 實驗室、商業軟件及開源組織，同埋營運技術（OT）、醫療等關鍵基礎設施相關行業，一齊部署網絡層「虛擬修補」，喺永久軟件修正推出之前，先阻擋漏洞流量或者濫用協議行為。

Palo Alto 表示，其 Advanced Virtual Patching 可以喺幾個鐘內部署防護；相比之下，公司引用嘅傳統修補行業平均時間係 55 日。

但虛擬修補應該理解為一種補償性控制措施，唔係修補漏洞程式碼嘅替代品。佢有冇效，取決於安全團隊能否準確掌握攻擊路徑，以及網絡控制能否封住嗰條路而唔影響正常活動。遇到經由受信任渠道發動嘅攻擊、加密流量、本機權限提升，或者難以同正常使用區分嘅行為，防護覆蓋亦可能有限。

防守方有冇機會重新取得優勢？

有可能，但唔係單純加裝一個 AI 掃描器就得。

較完整嘅防守架構，應該將以下幾個階段串成一個運作循環：

1. 繪製程式碼及攻擊面，令代理理解系統實際做緊乜。
2. 建立並審閱威脅模型，先至進行大規模漏洞假設生成。
3. 使用多個代理及模型，由唔同角度搜尋，並互相挑戰較弱嘅發現。
4. 重現及排序漏洞，由人手專家根據證據判斷係咪真係可以利用。
5. 按適當協調流程披露漏洞並開發永久修補。
6. 即時控制暴露面，利用網絡控制或其他補償措施爭取時間。
7. 部署修補後重新驗證，確保問題真係解決。

AVDH 同 NOVA 帶出嘅戰略訊息係：優勢來自協調同編排，而唔係模型單獨輸出一堆結果。AI 可以壓縮發現同驗證所需時間，但防守方仍然需要可信證據、審慎排序、具韌性嘅架構，以及一套可以以相近速度落地嘅部署系統。

攻擊者同樣可以使用類似模型，而虛擬修補亦係暫時性、受覆蓋範圍限制嘅措施。所以，現實目標唔係消滅 zero-day 風險，而係令由發現、封堵到永久修補嘅整個防守循環，比攻擊者由搵到漏洞到正式利用漏洞更快、更可靠。