AI 正在加速軟體資安工作的兩端：防守方能更快找出漏洞，攻擊者也可能利用公開的修補線索，在更新送達所有使用者之前製作攻擊。眼前的關鍵不再只是「能不能找到漏洞」，還包括如何確認問題、完成修補，並讓更新及時部署。3

漏洞發現速度大幅提升

Palo Alto Networks 向《經濟時報》表示，AI 協助找出逾 14,000 個先前未被發現的開源軟體漏洞，並在三週內完成相當於一年人工滲透測試的工作量。19 這是公司對外公布的成果；目前可用資料不足以將它視為經獨立驗證的基準測試。

Anthropic 公布的數字，也說明為什麼「發現更多」不等於「已確認或修好更多」。該公司表示，旗下模型在六個月內找出逾 29,000 個候選漏洞，但人工審查並分流的約有 6,000 個。 這些數字代表不同階段：候選漏洞未必是真正漏洞，經審查的發現也不等於已由上游專案完成修補。

Anthropic 的 OSS Scanner 是一項免費、採自願加入的服務，為符合資格的開源專案定期掃描程式碼，使用的模型包括 Claude Mythos。掃描結果可以在尚未經人工審查前送交參與專案的維護者。 這或許能讓維護者更早得知潛在問題，但報告的數量與品質也因此格外重要。現有資料無法核實其他報導提到的 10 月 2 日精確總數，或上游修補的確切數量。

瓶頸轉向驗證與修補

Anthropic 表示，人工審查能力已成為限制；TechTarget 則指出，這項掃描服務可能把更多漏洞處理工作推向專案維護者。 一項有用的發現，仍可能需要重現、評估影響、撰寫修補程式、測試，再安排發布。送出更多報告，不代表這些工作已經完成。

對資安人力有限的專案而言，實際做法之一，是優先處理可重現、清楚指出受影響程式碼與可能影響的報告。依賴開源軟體的組織，也可以投入資金，支持維護與安全工作；電子前哨基金會（EFF）曾特別呼籲增加對開源專案的支持。 不過，現有資料無法證實特定維護者已出現倦怠，或個別專案因人力問題而調整團隊。

修補線索也可能讓攻擊者搶得先機

AI 輔助漏洞搜尋有助防守，但安全修補也可能透露漏洞線索。Epoch AI 報告指出，開放權重模型 GLM 5.3（由 Z.ai 推出）利用公開、但尚未送達使用者的 Firefox 修補資訊，對六個 Firefox 版本製作出可行攻擊；每次成功攻擊的邊際成本約為 1,000 美元。3

這是受控實驗，並非攻擊者已用這些方法襲擊 Firefox 使用者的證據。不過，測試凸顯了「修補落差」的風險：修補資訊公開之後，到使用者實際收到更新之前，可能留下一段可被利用的時間窗口。後續報導指出，Mozilla 在 Firefox 159.0 中修補了相關漏洞。29

這並不代表公開修補內容本身不安全；使用者仍需要更新來保護裝置。更重要的是，防守方必須考量技術細節可能很快被分析，並盡力加快更新部署。3

修補數字很大，也要看清口徑

微軟 10 月的 Patch Tuesday（每月例行安全更新）說明了為何資安統計需要仔細解讀。微軟發布說明列出 1,468 個 CVE；Veracode 對同一批更新則報告 1,413 個漏洞。現有資料無法釐清兩者差異的原因。 Veracode 也指出，這次更新包含一項已遭利用的 Windows Shell 安全功能繞過漏洞。 單看總數，無法判斷漏洞數量上升的原因，也不能據此推論有多少漏洞是 AI 找到的。

另一個例子顯示，漏洞揭露後的應變工作也需要時間：CERT-EU 表示，PHP 專案於 10 月 20 日公布兩項重大漏洞，並在隔日發布修補程式。 路透社報導，七名資安專家警告，AI 找出的漏洞可能造成更多干擾。17 這是對潛在風險的警告，不是 AI 發現漏洞必然導致資安事件的證明。

發現得更快，尚不代表資安一定更好

AI 能協助防守方更早找到弱點，但 Firefox 實驗也顯示，漏洞利用的製作速度可能同步加快。3 現有來源還無法判定整體而言哪一方將因此取得更大優勢。眼前最明確的任務，是把漏洞發現接上有效分流、可靠修補與及時部署，避免大量新發現只變成維護者與使用者面前更長的待辦清單。

AI 正在加速軟體資安工作的兩端：防守方能更快找出漏洞，攻擊者也可能利用公開的修補線索，在更新送達所有使用者之前製作攻擊。眼前的關鍵不再只是「能不能找到漏洞」，還包括如何確認問題、完成修補，並讓更新及時部署。3

漏洞發現速度大幅提升

Palo Alto Networks 向《經濟時報》表示，AI 協助找出逾 14,000 個先前未被發現的開源軟體漏洞，並在三週內完成相當於一年人工滲透測試的工作量。19 這是公司對外公布的成果；目前可用資料不足以將它視為經獨立驗證的基準測試。

Anthropic 公布的數字，也說明為什麼「發現更多」不等於「已確認或修好更多」。該公司表示，旗下模型在六個月內找出逾 29,000 個候選漏洞，但人工審查並分流的約有 6,000 個。 這些數字代表不同階段：候選漏洞未必是真正漏洞，經審查的發現也不等於已由上游專案完成修補。

Anthropic 的 OSS Scanner 是一項免費、採自願加入的服務，為符合資格的開源專案定期掃描程式碼，使用的模型包括 Claude Mythos。掃描結果可以在尚未經人工審查前送交參與專案的維護者。 這或許能讓維護者更早得知潛在問題，但報告的數量與品質也因此格外重要。現有資料無法核實其他報導提到的 10 月 2 日精確總數，或上游修補的確切數量。

瓶頸轉向驗證與修補

Anthropic 表示，人工審查能力已成為限制；TechTarget 則指出，這項掃描服務可能把更多漏洞處理工作推向專案維護者。 一項有用的發現，仍可能需要重現、評估影響、撰寫修補程式、測試，再安排發布。送出更多報告，不代表這些工作已經完成。

對資安人力有限的專案而言，實際做法之一，是優先處理可重現、清楚指出受影響程式碼與可能影響的報告。依賴開源軟體的組織，也可以投入資金，支持維護與安全工作；電子前哨基金會（EFF）曾特別呼籲增加對開源專案的支持。 不過，現有資料無法證實特定維護者已出現倦怠，或個別專案因人力問題而調整團隊。

修補線索也可能讓攻擊者搶得先機

AI 輔助漏洞搜尋有助防守，但安全修補也可能透露漏洞線索。Epoch AI 報告指出，開放權重模型 GLM 5.3（由 Z.ai 推出）利用公開、但尚未送達使用者的 Firefox 修補資訊，對六個 Firefox 版本製作出可行攻擊；每次成功攻擊的邊際成本約為 1,000 美元。3

這是受控實驗，並非攻擊者已用這些方法襲擊 Firefox 使用者的證據。不過，測試凸顯了「修補落差」的風險：修補資訊公開之後，到使用者實際收到更新之前，可能留下一段可被利用的時間窗口。後續報導指出，Mozilla 在 Firefox 159.0 中修補了相關漏洞。29

這並不代表公開修補內容本身不安全；使用者仍需要更新來保護裝置。更重要的是，防守方必須考量技術細節可能很快被分析，並盡力加快更新部署。3

修補數字很大，也要看清口徑

微軟 10 月的 Patch Tuesday（每月例行安全更新）說明了為何資安統計需要仔細解讀。微軟發布說明列出 1,468 個 CVE；Veracode 對同一批更新則報告 1,413 個漏洞。現有資料無法釐清兩者差異的原因。 Veracode 也指出，這次更新包含一項已遭利用的 Windows Shell 安全功能繞過漏洞。 單看總數，無法判斷漏洞數量上升的原因，也不能據此推論有多少漏洞是 AI 找到的。

另一個例子顯示，漏洞揭露後的應變工作也需要時間：CERT-EU 表示，PHP 專案於 10 月 20 日公布兩項重大漏洞，並在隔日發布修補程式。 路透社報導，七名資安專家警告，AI 找出的漏洞可能造成更多干擾。17 這是對潛在風險的警告，不是 AI 發現漏洞必然導致資安事件的證明。

發現得更快，尚不代表資安一定更好

AI 能協助防守方更早找到弱點，但 Firefox 實驗也顯示，漏洞利用的製作速度可能同步加快。3 現有來源還無法判定整體而言哪一方將因此取得更大優勢。眼前最明確的任務，是把漏洞發現接上有效分流、可靠修補與及時部署，避免大量新發現只變成維護者與使用者面前更長的待辦清單。