AI 讓攻擊者更容易把軟體漏洞轉成可用的攻擊手法，但軟體修補並沒有因此同步加速。a16z 的 Asaf Ezra 與 Stephenie Zhang 在 2026 年 11 月 6 日發布的報告中主張，資安防禦不能只寄望於盡快打補丁；還要能在漏洞修復完成前保護系統。12

真正的難題，是修補完成前的空窗期

報告引用 Verizon 2026 年資料指出，漏洞從發現到完成修復的中位數為 43 天；在資料集中的已知遭利用漏洞，只有 26% 完成修補。1 這代表即使組織知道哪些弱點已被攻擊者利用，系統仍可能在一段時間內暴露於風險之中。

Ezra 與 Zhang 的觀點是，2025 至 2026 年間，把程式漏洞轉成可運作攻擊的專業工作已變得更便宜，但修補速度沒有跟著提升。若攻擊端與防守端的速度落差持續存在，光靠「更努力修補」未必能補上缺口。2

這不是說補丁不重要，而是永久修復通常需要開發、測試和部署時間。組織還需要方法，在這些步驟完成前先降低遭攻擊的機率與影響。

PHP 案例：不是每套系統都能立刻更新

報告以 PHP 為例，說明部分系統可能無法快速更新，甚至再也等不到修補程式。Asaf Ezra 提到，兩個 PHP 嚴重漏洞在修補前外流；他表示，保護服務涵蓋範圍之外，仍有 260 萬至 440 萬個 PHP 安裝環境暴露在風險中，其中多數使用的版本將不會再獲得修補。37

在這種情況下，若能在受影響系統前方部署防禦規則，就可能在所有系統完成更新前，先擋下一部分攻擊。報告主張運用機器速度的能力產生並散布這類防禦規則，也將保護範圍延伸至大型雲端平台以外的系統。237

但暫時防護不等於修好了軟體。能取得永久修補時，組織仍應部署並確認修復有效；同時也要評估，若中介防護失效或無法使用，還有哪些防線能發揮作用。

報告談到的資安產品方向

Ezra 與 Zhang 將報告定位為資安產品的 六項新一代機會。12 不過，目前可取得的報告摘錄不足以核實六項機會的完整逐項清單。報告的二手摘要提到幾個較廣泛的方向：網路分段、機器速度的威脅偵測、逐次請求的身分驗證、經測試的備份，以及供應鏈控管。34

這些方向共同指向一種更全面的防禦思路：

• 修補等待期間先控制攻擊範圍： 網路分段等措施可以限制入侵擴散，不必假設每套系統都能立即完成更新。34
• 加快偵測與應變： 當攻擊手法加速，及時發現威脅並採取防護措施也更重要。報告的核心主張，是防禦能力必須跟上攻擊速度的變化。234
• 持續確認存取權限： 二手摘要提到逐次請求的身分驗證，將檢查範圍從一次登入延伸到後續的存取請求。34
• 確認備份真的能復原： 備份與復原能力應納入資安防線；重點不只是保存資料，也包括能否恢復運作。34
• 檢查軟體與依賴項： 供應鏈控管可協助組織評估從採用的軟體或工具帶入的風險。34

以上是目前資料可支持的方向，並非已核實的六項完整分類或各項產品規格。可取得的摘錄也不足以證實一些更精確的說法，例如每日警示數量、憑證有效時間、勒索軟體相關比例，或攻擊者能否在已公開修補程式後的特定時間內製作出攻擊。

實務重點：先降低風險，再完成永久修復

真正的選擇不是「修補」或「其他防禦」二選一，而是把兩者視為互補措施：先降低遭利用的機率與影響，再在修補可用時部署並確認永久修復。12

對無法快速更新的系統而言，暫時防護尤其重要；但 PHP 案例也提醒，若系統不在防護涵蓋範圍內，或使用的版本已不再獲得修補，風險並不會憑空消失。37

因此，a16z 所看到的機會不只在於更快掃描漏洞，而在於打造一套能在修補追不上攻擊速度時，仍可限制攻擊、辨識風險、管理存取並支援復原的資安防線。

AI 讓攻擊者更容易把軟體漏洞轉成可用的攻擊手法，但軟體修補並沒有因此同步加速。a16z 的 Asaf Ezra 與 Stephenie Zhang 在 2026 年 11 月 6 日發布的報告中主張，資安防禦不能只寄望於盡快打補丁；還要能在漏洞修復完成前保護系統。12

真正的難題，是修補完成前的空窗期

報告引用 Verizon 2026 年資料指出，漏洞從發現到完成修復的中位數為 43 天；在資料集中的已知遭利用漏洞，只有 26% 完成修補。1 這代表即使組織知道哪些弱點已被攻擊者利用，系統仍可能在一段時間內暴露於風險之中。

Ezra 與 Zhang 的觀點是，2025 至 2026 年間，把程式漏洞轉成可運作攻擊的專業工作已變得更便宜，但修補速度沒有跟著提升。若攻擊端與防守端的速度落差持續存在，光靠「更努力修補」未必能補上缺口。2

這不是說補丁不重要，而是永久修復通常需要開發、測試和部署時間。組織還需要方法，在這些步驟完成前先降低遭攻擊的機率與影響。

PHP 案例：不是每套系統都能立刻更新

報告以 PHP 為例，說明部分系統可能無法快速更新，甚至再也等不到修補程式。Asaf Ezra 提到，兩個 PHP 嚴重漏洞在修補前外流；他表示，保護服務涵蓋範圍之外，仍有 260 萬至 440 萬個 PHP 安裝環境暴露在風險中，其中多數使用的版本將不會再獲得修補。37

在這種情況下，若能在受影響系統前方部署防禦規則，就可能在所有系統完成更新前，先擋下一部分攻擊。報告主張運用機器速度的能力產生並散布這類防禦規則，也將保護範圍延伸至大型雲端平台以外的系統。237

但暫時防護不等於修好了軟體。能取得永久修補時，組織仍應部署並確認修復有效；同時也要評估，若中介防護失效或無法使用，還有哪些防線能發揮作用。

報告談到的資安產品方向

Ezra 與 Zhang 將報告定位為資安產品的 六項新一代機會。12 不過，目前可取得的報告摘錄不足以核實六項機會的完整逐項清單。報告的二手摘要提到幾個較廣泛的方向：網路分段、機器速度的威脅偵測、逐次請求的身分驗證、經測試的備份，以及供應鏈控管。34

這些方向共同指向一種更全面的防禦思路：

• 修補等待期間先控制攻擊範圍： 網路分段等措施可以限制入侵擴散，不必假設每套系統都能立即完成更新。34
• 加快偵測與應變： 當攻擊手法加速，及時發現威脅並採取防護措施也更重要。報告的核心主張，是防禦能力必須跟上攻擊速度的變化。234
• 持續確認存取權限： 二手摘要提到逐次請求的身分驗證，將檢查範圍從一次登入延伸到後續的存取請求。34
• 確認備份真的能復原： 備份與復原能力應納入資安防線；重點不只是保存資料，也包括能否恢復運作。34
• 檢查軟體與依賴項： 供應鏈控管可協助組織評估從採用的軟體或工具帶入的風險。34

以上是目前資料可支持的方向，並非已核實的六項完整分類或各項產品規格。可取得的摘錄也不足以證實一些更精確的說法，例如每日警示數量、憑證有效時間、勒索軟體相關比例，或攻擊者能否在已公開修補程式後的特定時間內製作出攻擊。

實務重點：先降低風險，再完成永久修復

真正的選擇不是「修補」或「其他防禦」二選一，而是把兩者視為互補措施：先降低遭利用的機率與影響，再在修補可用時部署並確認永久修復。12

對無法快速更新的系統而言，暫時防護尤其重要；但 PHP 案例也提醒，若系統不在防護涵蓋範圍內，或使用的版本已不再獲得修補，風險並不會憑空消失。37

因此，a16z 所看到的機會不只在於更快掃描漏洞，而在於打造一套能在修補追不上攻擊速度時，仍可限制攻擊、辨識風險、管理存取並支援復原的資安防線。