Apple 因應 AI 加速攻擊改變漏洞修補策略，專家指不足

Apple 正在調整資安修補方式，以因應 AI 加速惡意工具開發所帶來的威脅。

政策轉變的背景

Apple 長期以來習慣將大量安全修補整合在作業系統的重大版本更新中。6 月 29 日，該公司針對 iPhone、iPad、MacBook 與 Safari 瀏覽器發布一批不隸屬重大版本更新的獨立安全性更新。Apple 表示，此舉是為了因應 AI 加速惡意駭客工具開發的現實，縮短更新從發布到送達用戶手中的時間。Apple 也強調，這次修補的漏洞並未涉及已知遭主動利用的情況，目的在於建立更頻繁的更新節奏。

iVerify 共同創辦人暨營運長 Rocky Cole 引用 Mandiant 的漏洞利用時間（Time-to-Exploit，TTE）數據指出，2018 年平均漏洞利用時間約為 63 天；但近兩年這個數字已轉為負值，意味著攻擊者平均在修補程式公開之前就已將漏洞武器化。此外，零日漏洞的使用頻率如今也已超過已知漏洞。

Cole 也以自身經驗佐證這一趨勢。他透過 OpenAI 的 Trusted Access for Cyber 計畫，帶領僅兩名研究人員的小型團隊參與約兩個月，就發現約十二個漏洞；其中一個已獲 Apple 認定並指派 CVE 編號，且在部分案例中還能借助 AI 工具推進至漏洞利用階段。他認為，這足以說明舊有的修補模式已然失效。

更新頻率加快，仍有兩大隱憂

Cole 對 Apple 的新方向持正面態度，但也指出，僅靠加快修補頻率仍不足以全面保護用戶。

首先，用戶是否真的會安裝更新仍是關鍵。Apple 長期將安全修補與作業系統功能更新綁在一起，使許多用戶逐漸把更新視為功能升級。一旦某次介面改動引發反感，部分人便可能選擇停止更新。Cole 提到，近期就遇到一位仍在使用 iOS 16 的用戶遭 Coruna 惡意程式感染，對方表示因不喜歡新介面而放棄更新。他指出，若用戶不安裝更新，即使發布頻率提高也無從發揮效用。

其次，是 iOS 資安框架的結構性問題。Cole 指出，iOS 是目前全球廣泛使用的運算平台中，唯一沒有真正資安框架的平台；缺乏延伸偵測與回應（XDR）或端點偵測與回應（EDR）等可供資安業者建構解決方案的底層能力，整個生態系也對第三方資安工具保持封閉。對於採用 N-1 修補策略（即延遲一個版本更新以避免相容性問題）的企業而言，這個問題尤為突出。

Cole 直言，唯一可行的方向，是讓 iPhone 具備可供企業自主防禦的資安框架，就如同其他端點設備一樣，而非完全仰賴 Apple 的「信任我們來保護裝置」模式。他也表示，在 AI 驅動的威脅環境下，「各自為政」的資安模型已然失效，這一點不應再被迴避。

本文轉載自 DarkReading。