AI 正同時加快軟件保安工作的兩端：研究人員可以更快發現漏洞，攻擊者亦可能利用公開線索，在修補程式送到所有用戶之前嘗試製作攻擊。眼前的難題已不止是「搵唔搵到」，還包括如何核實發現、準備修補，以及盡快推出更新。3

漏洞發現速度大增，但數字要分清楚

Palo Alto Networks 向《經濟時報》表示，AI 協助找出逾 14,000 個此前未被發現的開源軟件漏洞，並在三星期內完成相當於一年人工滲透測試的工作。19 這是公司報稱的成果；現有資料未有提供獨立驗證的基準。

Anthropic 的數字則反映，發現速度快，不代表每個漏洞都已確認或修好。公司表示，旗下模型在六個月內找出逾 29,000 個候選漏洞，但人手只覆核及分流約 6,000 個。「候選」只是有待核實的發現；經人手覆核亦不等於漏洞已由上游軟件項目修補。

Anthropic 的 OSS Scanner 讓符合資格的開源項目免費選擇定期接受模型掃描，所用模型包括 Claude Mythos。報告可以在未經人手覆核下送交參與項目的維護者。 這或可令潛在問題更早交到維護者手上，但報告數量和質素同樣重要。現有資料未能核實其他報道所指的 10 月 2 日精確統計，亦未能確定上游修補數字。

樽頸轉到核實、修補和發布

Anthropic 表示，人手覆核能力有限；TechTarget 亦指出，OSS Scanner 可能把更多漏洞處理工作轉移到項目維護者身上。 有用的發現仍然要有人重現問題、評估影響、編寫及測試修補程式，再安排發布。送出更多報告，並不代表這些工作已經完成。

對保安資源有限的開源項目來說，優先處理可重現、清楚指出受影響程式碼和實際影響的報告，或會較有效。依賴開源軟件的機構亦可以資助維護及保安工作；電子前哨基金會（EFF）曾呼籲加大對開源項目的支援。 不過，現有資料未能證實特定維護者已出現倦怠，或個別項目因此改變人手安排。

修補線索亦可能幫到攻擊者

AI 輔助找漏洞可以用於防守，但保安修補有時亦會透露漏洞線索。Epoch AI 報告指，Z.ai 推出的開放權重模型 GLM 5.3 利用已公開、但尚未推送到用戶手上的 Firefox 修補資料，為六個 Firefox 版本製作出可行攻擊；每次成功攻擊的邊際成本約為 1,000 美元。3

這是受控實驗，並非攻擊者已用相關方法攻擊 Firefox 用戶的證據。不過，測試顯示「修補落差」的風險：修補資訊公開，到用戶真正收到更新之間，可能留有可供分析和利用的時間窗口。二手報道指，Mozilla 在 Firefox 159.0 修補了相關漏洞。29

這不代表公開修補內容本身不安全——用戶需要更新來保護自己。重點是防守方要預計技術細節可能很快被分析，因此推送更新和提醒用戶安裝都相當重要。3

大批修補數字，需要放在脈絡下看

微軟 10 月的 Patch Tuesday（每月例行安全更新）正好說明，漏洞總數要小心解讀。微軟更新說明列出 1,468 個 CVE，Veracode 則報告該次更新涉及 1,413 個漏洞；現有資料未能解釋兩個數字為何不同。 Veracode 亦指出，更新修補了一個已遭實際利用的 Windows Shell 安全功能繞過漏洞。 單看總數，無法判斷數字上升的原因，也不能據此推斷有多少漏洞由 AI 發現。

另一個例子反映修補工作的時效要求：CERT-EU 表示，PHP 項目在 10 月 20 日公布兩個嚴重漏洞，並於翌日發布修補程式。 路透社報道，七名網絡保安專業人士警告，AI 發現的漏洞可能帶來更多干擾。17 這是對潛在後果的警告，並非證明 AI 發現漏洞必然會引發事故。

發現得快，未必代表保安必然更好

AI 或能幫助防守者提早找到弱點，但 Firefox 實驗亦顯示，製作攻擊的速度可以加快。3 現有資料未能判斷整體而言哪一方會佔上風。短期最清晰的優先事項，是把漏洞發現接上有效分流、及時修補和廣泛推送更新，避免新報告只變成維護者和用戶面前愈積愈多的待辦清單。

AI 正同時加快軟件保安工作的兩端：研究人員可以更快發現漏洞，攻擊者亦可能利用公開線索，在修補程式送到所有用戶之前嘗試製作攻擊。眼前的難題已不止是「搵唔搵到」，還包括如何核實發現、準備修補，以及盡快推出更新。3

漏洞發現速度大增，但數字要分清楚

Palo Alto Networks 向《經濟時報》表示，AI 協助找出逾 14,000 個此前未被發現的開源軟件漏洞，並在三星期內完成相當於一年人工滲透測試的工作。19 這是公司報稱的成果；現有資料未有提供獨立驗證的基準。

Anthropic 的數字則反映，發現速度快，不代表每個漏洞都已確認或修好。公司表示，旗下模型在六個月內找出逾 29,000 個候選漏洞，但人手只覆核及分流約 6,000 個。「候選」只是有待核實的發現；經人手覆核亦不等於漏洞已由上游軟件項目修補。

Anthropic 的 OSS Scanner 讓符合資格的開源項目免費選擇定期接受模型掃描，所用模型包括 Claude Mythos。報告可以在未經人手覆核下送交參與項目的維護者。 這或可令潛在問題更早交到維護者手上，但報告數量和質素同樣重要。現有資料未能核實其他報道所指的 10 月 2 日精確統計，亦未能確定上游修補數字。

樽頸轉到核實、修補和發布

Anthropic 表示，人手覆核能力有限；TechTarget 亦指出，OSS Scanner 可能把更多漏洞處理工作轉移到項目維護者身上。 有用的發現仍然要有人重現問題、評估影響、編寫及測試修補程式，再安排發布。送出更多報告，並不代表這些工作已經完成。

對保安資源有限的開源項目來說，優先處理可重現、清楚指出受影響程式碼和實際影響的報告，或會較有效。依賴開源軟件的機構亦可以資助維護及保安工作；電子前哨基金會（EFF）曾呼籲加大對開源項目的支援。 不過，現有資料未能證實特定維護者已出現倦怠，或個別項目因此改變人手安排。

修補線索亦可能幫到攻擊者

AI 輔助找漏洞可以用於防守，但保安修補有時亦會透露漏洞線索。Epoch AI 報告指，Z.ai 推出的開放權重模型 GLM 5.3 利用已公開、但尚未推送到用戶手上的 Firefox 修補資料，為六個 Firefox 版本製作出可行攻擊；每次成功攻擊的邊際成本約為 1,000 美元。3

這是受控實驗，並非攻擊者已用相關方法攻擊 Firefox 用戶的證據。不過，測試顯示「修補落差」的風險：修補資訊公開，到用戶真正收到更新之間，可能留有可供分析和利用的時間窗口。二手報道指，Mozilla 在 Firefox 159.0 修補了相關漏洞。29

這不代表公開修補內容本身不安全——用戶需要更新來保護自己。重點是防守方要預計技術細節可能很快被分析，因此推送更新和提醒用戶安裝都相當重要。3

大批修補數字，需要放在脈絡下看

微軟 10 月的 Patch Tuesday（每月例行安全更新）正好說明，漏洞總數要小心解讀。微軟更新說明列出 1,468 個 CVE，Veracode 則報告該次更新涉及 1,413 個漏洞；現有資料未能解釋兩個數字為何不同。 Veracode 亦指出，更新修補了一個已遭實際利用的 Windows Shell 安全功能繞過漏洞。 單看總數，無法判斷數字上升的原因，也不能據此推斷有多少漏洞由 AI 發現。

另一個例子反映修補工作的時效要求：CERT-EU 表示，PHP 項目在 10 月 20 日公布兩個嚴重漏洞，並於翌日發布修補程式。 路透社報道，七名網絡保安專業人士警告，AI 發現的漏洞可能帶來更多干擾。17 這是對潛在後果的警告，並非證明 AI 發現漏洞必然會引發事故。

發現得快，未必代表保安必然更好

AI 或能幫助防守者提早找到弱點，但 Firefox 實驗亦顯示，製作攻擊的速度可以加快。3 現有資料未能判斷整體而言哪一方會佔上風。短期最清晰的優先事項，是把漏洞發現接上有效分流、及時修補和廣泛推送更新，避免新報告只變成維護者和用戶面前愈積愈多的待辦清單。