用AI發現漏洞還不夠,Google指出自動化大規模修補才是防禦核心

此篇文章聚焦於AI在資安防禦中的角色轉變,指出當前產業關注的重點,已不只是如何利用AI更快、更大規模地找出漏洞,而是如何進一步讓AI協助修補漏洞,縮短風險暴露時間。文章以Google工程部門副總裁Royal Hansen來臺分享的觀點為主軸,說明在AI攻擊能力日益提升、漏洞挖掘速度快速進展的背景下,防禦端若仍仰賴傳統人力流程,將難以跟上威脅演變。Google過去透過Big Sleep計畫,已利用AI模型發現超過70個漏洞,甚至包括史上最早由AI發現的現實世界零時差漏洞,顯示AI在漏洞發現上的能力已具備實際成果。然而,文章進一步提醒讀者,發現漏洞只是第一步,真正困難且迫切的挑戰,是如何讓受影響的團隊能快速理解風險、調整系統並完成修補,這才是降低資安威脅的關鍵。

文章接著深入介紹Google CodeMender計畫,說明AI代理如何從單純輔助偵測,進一步走向自動化修補。CodeMender能針對同一個漏洞提出多種修補方案,再透過真實攻擊模擬進行測試與評分,最後挑選防禦效果最佳的程式碼進行部署。Royal Hansen將這個過程比喻為AI下西洋棋或圍棋,會評估每一步可能帶來的結果,再選出最有利的解法。這樣的設計凸顯AI不只是產生程式碼,而是能在複雜條件下進行比較、驗證與決策。文章也強調,多AI代理分工將比單一代理包辦所有工作更有效率,因為即便只是漏洞修補,也涉及漏洞分析、修補生成、攻擊模擬、部署評估等不同任務。從軟體安全開發生命週期來看,AI不應只在事後補救,而應滲透開發、測試、部署與上市後追蹤等每一道防線,在工程師撰寫程式時即時檢查、提出修補建議,盡量把弱點攔截在產品上線之前。

此篇文章最後將視角拉回企業資安管理現場,指出AI代理的價值不只是對抗AI攻擊者,更在於突破長期困擾資安產業的人力不足與處理效率瓶頸。許多資安長每天面對遠超過團隊負荷的待辦事項,只能被迫優先處理最高風險問題,其他威脅則可能因資源有限而延後。Royal Hansen認為,隨著大型語言模型與AI代理能力提升,防禦端終於有機會在速度與規模上大幅擴張,讓自動化偵測、分析與修補成為全天候運作的基礎設施。他並以電影《駭客任務》的史密斯探員作為比喻,形容企業未來可建立專屬AI代理,持續守護系統安全。文章也提到,AI在減少繁瑣工作方面已有實際成效,例如Google威脅獵捕分析團隊透過AI協助摘要、撰寫郵件與整合資料,使效率提升77%。整體而言,此篇文章要傳達的是,AI資安防禦的下一個核心戰場,將從找出漏洞走向修補漏洞,並全面重塑企業軟體開發與資安營運的日常流程。

閱讀完整文章:https://www.ithome.com.tw/news/175328

Related posts