AI令把軟件漏洞變成可用攻擊的成本降低，但修補程式仍要經過開發、測試和部署，未有因此同樣加快。a16z的Asaf Ezra與Stephenie Zhang在2026年11月6日發表的報告指出，保安策略要補上這段時間差：在永久修復推出前，先保護仍然有漏洞的系統。12

修補漏洞的時間差，正是風險所在

報告引述Verizon 2026年數據：漏洞全面修復所需時間的中位數為 43日；而數據集中已知正遭利用的漏洞，只有 26% 完成全面修復。1

作者延續前一篇文章的論點，指把程式漏洞轉化為可用攻擊，過去需要專門技術和人手；但這類工作在2025及2026年變得更便宜，修補速度卻沒有同步提升。換言之，單靠加快打補丁，未必足以填補攻擊與修復之間的空隙。2

這並不是說補丁不重要，而是企業需要在永久修復準備好之前，先減低漏洞被利用的機會和影響。

修復未到，先為系統加一道防線

PHP例子顯示，部分系統未必可以即時更新，甚至可能再等不到修補程式。Ezra提到，兩個嚴重PHP漏洞在修復推出前已外洩；他指，在防護服務覆蓋範圍以外，約有 260萬至440萬個PHP安裝仍然暴露於風險之中，當中大部分使用的版本不會再獲修復。37

在這類情況下，若能在受影響系統前端部署防禦規則，就有機會在逐一安裝補丁之前先擋住攻擊。報告主張運用機器速度生成和分發防禦規則，亦要設法覆蓋大型雲端平台以外的系統。237

不過，臨時防護不等於修好軟件。只要有永久修復可用，組織仍要安排更新和驗證；同時亦要評估臨時防護失效或無法使用時，系統會面對甚麼風險。

六個產品機會，現有資料能確認多少？

作者稱報告看到 至少六個新一代保安產品機會。12 不過，現有來源摘錄不足以核實六類機會的完整逐項清單。另一篇摘要提到的廣泛方向包括網絡分段、機器速度偵測、逐次請求驗證身分、經測試的備份，以及供應鏈管控。34

這些方向共同指向一種多層防守思路：

• **補丁推出前先限制攻擊範圍：**以網絡分段等措施限制入侵擴散，避免假設所有系統都能即時更新。34
• **加快偵測和應對：**當攻擊手段變化加快，及早發現威脅並採取防護措施就更重要。234
• **每次存取都核實身分：**逐次請求驗證，令保安不只依賴使用者登入時的一次檢查。34
• **確認備份真的可以還原：**防護不只是避免入侵，也要確認出事後能否恢復運作。34
• **檢查軟件及依賴項：**供應鏈管控可協助處理從組織採用的軟件或工具帶入的風險。34

以上是來源支持的概括方向，並非已核實的六大分類或完整產品規格；現有摘錄亦不足以證實部分更具體的說法，例如警報數量、憑證有效時間、勒索軟件相關比例，或從已公開修復程式到製成攻擊所需的確切時間。

重點不是二選一：先防護，再永久修復

較實際的做法不是在打補丁和其他防護之間二選一，而是把兩者視為不同層次：先即時降低受攻擊的機會和損害，再在永久修復準備好後安裝並確認有效。12

對難以快速更新的系統而言，臨時防護尤其重要。但PHP例子亦提醒我們，若系統不在防護覆蓋範圍內，或根本不會再獲修復，風險不會因有一道臨時防線便消失。37

因此，作者看重的不只是更快掃描漏洞，而是一套能在補丁追不上時，仍可限制攻擊、識別風險、管控存取並支援復原的保安架構。

AI令把軟件漏洞變成可用攻擊的成本降低，但修補程式仍要經過開發、測試和部署，未有因此同樣加快。a16z的Asaf Ezra與Stephenie Zhang在2026年11月6日發表的報告指出，保安策略要補上這段時間差：在永久修復推出前，先保護仍然有漏洞的系統。12

修補漏洞的時間差，正是風險所在

報告引述Verizon 2026年數據：漏洞全面修復所需時間的中位數為 43日；而數據集中已知正遭利用的漏洞，只有 26% 完成全面修復。1

作者延續前一篇文章的論點，指把程式漏洞轉化為可用攻擊，過去需要專門技術和人手；但這類工作在2025及2026年變得更便宜，修補速度卻沒有同步提升。換言之，單靠加快打補丁，未必足以填補攻擊與修復之間的空隙。2

這並不是說補丁不重要，而是企業需要在永久修復準備好之前，先減低漏洞被利用的機會和影響。

修復未到，先為系統加一道防線

PHP例子顯示，部分系統未必可以即時更新，甚至可能再等不到修補程式。Ezra提到，兩個嚴重PHP漏洞在修復推出前已外洩；他指，在防護服務覆蓋範圍以外，約有 260萬至440萬個PHP安裝仍然暴露於風險之中，當中大部分使用的版本不會再獲修復。37

在這類情況下，若能在受影響系統前端部署防禦規則，就有機會在逐一安裝補丁之前先擋住攻擊。報告主張運用機器速度生成和分發防禦規則，亦要設法覆蓋大型雲端平台以外的系統。237

不過，臨時防護不等於修好軟件。只要有永久修復可用，組織仍要安排更新和驗證；同時亦要評估臨時防護失效或無法使用時，系統會面對甚麼風險。

六個產品機會，現有資料能確認多少？

作者稱報告看到 至少六個新一代保安產品機會。12 不過，現有來源摘錄不足以核實六類機會的完整逐項清單。另一篇摘要提到的廣泛方向包括網絡分段、機器速度偵測、逐次請求驗證身分、經測試的備份，以及供應鏈管控。34

這些方向共同指向一種多層防守思路：

• **補丁推出前先限制攻擊範圍：**以網絡分段等措施限制入侵擴散，避免假設所有系統都能即時更新。34
• **加快偵測和應對：**當攻擊手段變化加快，及早發現威脅並採取防護措施就更重要。234
• **每次存取都核實身分：**逐次請求驗證，令保安不只依賴使用者登入時的一次檢查。34
• **確認備份真的可以還原：**防護不只是避免入侵，也要確認出事後能否恢復運作。34
• **檢查軟件及依賴項：**供應鏈管控可協助處理從組織採用的軟件或工具帶入的風險。34

以上是來源支持的概括方向，並非已核實的六大分類或完整產品規格；現有摘錄亦不足以證實部分更具體的說法，例如警報數量、憑證有效時間、勒索軟件相關比例，或從已公開修復程式到製成攻擊所需的確切時間。

重點不是二選一：先防護，再永久修復

較實際的做法不是在打補丁和其他防護之間二選一，而是把兩者視為不同層次：先即時降低受攻擊的機會和損害，再在永久修復準備好後安裝並確認有效。12

對難以快速更新的系統而言，臨時防護尤其重要。但PHP例子亦提醒我們，若系統不在防護覆蓋範圍內，或根本不會再獲修復，風險不會因有一道臨時防線便消失。37

因此，作者看重的不只是更快掃描漏洞，而是一套能在補丁追不上時，仍可限制攻擊、識別風險、管控存取並支援復原的保安架構。