Bugcrowd 用「真實漏洞軟體」訓練 AI：RL Environments 如何改變資安防禦

人工智慧正快速改變網路安全的攻防格局。隨著攻擊者開始利用 AI 自動化尋找漏洞、防禦方也被迫升級工具。Bugcrowd 最新推出的 Reinforcement Learning Environments（RL Environments） 平台，就是為了讓 AI 安全模型在更接近真實世界的條件下接受訓練。

與常見的「合成資料」或簡化測試集不同，這個平台讓 AI 直接在大量刻意保留漏洞的軟體環境中練習，完整體驗漏洞發現與修補的流程。

用真實軟體訓練 AI 的資安能力

許多 AI 資安模型目前主要依賴合成資料集或人工整理的漏洞範例來訓練。但 Bugcrowd 認為，這些資料往往過於理想化，與真實系統的複雜程度存在落差。

RL Environments 的設計目標就是縮小這個差距。平台提供 數十萬個訓練環境，這些環境來自開源專案，包含真實程式碼與可驗證的漏洞。

在這些模擬環境中，AI 代理（AI agents）會像人類資安研究員一樣與軟體互動，分析程式、測試輸入、觸發漏洞並觀察結果。

透過反覆嘗試與回饋，AI 能逐漸學習：

• 真實程式碼中漏洞通常如何出現
• 攻擊者如何利用這些漏洞
• 哪些方法能有效修補問題

強化學習流程：發現、利用、修復

整個平台採用 強化學習（Reinforcement Learning） 機制。模型在完成任務後會得到明確評分，藉此不斷優化策略。

在每個訓練環境中，AI 可以嘗試完整的資安攻擊流程：

• 發現漏洞：在程式碼或應用程式中找出潛在弱點
• 觸發或利用漏洞：證明漏洞確實存在
• 評估漏洞影響：分析可利用程度與風險
• 提出或驗證修補方案：產生修復程式碼或測試修補效果

平台會對每一步提供客觀評分，讓模型根據成功或失敗的結果逐步改進。

這種方法與許多先進 AI 系統的訓練方式相同：成功策略會被「獎勵」，效果不佳的策略則會被「懲罰」，模型最終學會更有效的行為模式。

來自 Mayhem Security 的核心技術

RL Environments 的技術基礎來自 Mayhem Security，這是一家專注於 AI 攻擊測試（offensive security）的新創公司，Bugcrowd 在 2025 年 11 月完成收購。

Mayhem 的平台原本就專注於自動化漏洞發現與利用，透過 AI 模擬攻擊者的思維來測試軟體安全性。

透過這次整合，Bugcrowd 希望把三種能力結合在一起：

• AI 驅動的自動化安全測試
• Bugcrowd 全球資安研究員與白帽駭客社群
• 用於訓練模型的強化學習環境

這種組合的目標是加速漏洞被發現與修補的速度。

為什麼「真實資料」很重要

Bugcrowd 在設計 RL Environments 時的一個核心理念是：AI 必須在接近真實世界的條件下學習。

合成資料集雖然有助於模型辨識基本模式，但實際軟體系統通常更混亂、更複雜。漏洞往往來自：

• 複雜程式碼結構
• 不同模組之間的互動
• 不斷更新的依賴套件

透過真實軟體環境訓練，Bugcrowd 希望 AI 在實際部署時能更有效地發現問題。

資料治理：不使用客戶或研究員資料

資安測試平台最大的疑慮之一是敏感資料的使用。Bugcrowd 表示，RL Environments 完全由 開源軟體環境 建構。

公司強調：

• 不會使用客戶的程式碼
• 不會使用資安研究人員提交的漏洞資料

這讓 AI 團隊能在安全的條件下訓練漏洞發現與修復能力，而不必接觸任何私有資訊。

AI 與人類駭客並存

儘管平台高度自動化，Bugcrowd 並不把它定位為「取代人類」。相反地，公司把這種模式稱為 human‑augmented security（人類增強型安全）。

AI 可以快速探索大量攻擊路徑，而人類研究員仍然在許多情境中不可或缺，例如：

• 理解複雜系統架構
• 發現新的攻擊思路
• 在真實世界環境中判斷風險

Bugcrowd 在收購 Mayhem Security 時就強調，未來資安平台將結合 AI 的規模能力與人類駭客的創造力。

AI 資安軍備競賽正在加速

整體而言，網路安全正進入 AI 主導的競爭階段。攻擊者已開始利用 AI 自動生成攻擊、搜尋漏洞並擴大入侵效率。

這迫使防禦方也必須採用 AI 技術。Bugcrowd 的 RL Environments 就是其中一個例子——讓 AI 在接近真實世界的環境中接受訓練，以更快速度發現並修補漏洞。

如果這種方法成功，未來的 AI 安全系統可能能自動完成大量初期漏洞分析工作，而人類專家則能把時間集中在更複雜、更具策略性的安全問題上。