Sophos 宣布推出「攻擊路徑驗證」(Exploit Path Verification, EPV) 功能。這項新功能將整合至 Sophos Managed Risk，協助資安團隊更有效地判斷並管理環境中可被利用的漏洞。EPV 將透過 Daybreak Defense Network，結合 OpenAI 的 GPT 網路安全模型進行建置，提供經驗證且具備證據支持的判定結果，讓防禦者能清楚掌握哪些曝險最需要優先修補。相關功能的正式推出時間將於日後公布。
資安團隊正面臨一項日益擴大的落差：能夠發現的漏洞，與實際能夠修補的漏洞之間存在差距。漏洞掃描工具可以找出數千項曝險，並依嚴重性評分與排序，但單憑一個嚴重性分數並無法判斷某個重大漏洞是否已受到安全控制，也無法判斷兩個低嚴重性漏洞是否會串聯成一條最終導向入侵的攻擊路徑。因此，資安團隊往往依據通用的嚴重性分數進行修補，而不是根據攻擊者是否能在其特定環境中觸及並利用該漏洞來決定優先順序。
Sophos 設計 EPV 的目的，就是要縮小這項落差。EPV 將針對資產與修補程式狀態、端點防護政策、網路可達性、身分與權限資訊，以及已知漏洞利用工具的可用性進行分析與判斷，並提供清楚且有證據支持的漏洞可利用性判定：
- 已確認可利用 (Confirmed Exploitable)
- 已受安全控制措施阻擋 (Blocked by a Control)
- 無法觸及 (Not Reachable)
- 證據不足 (Insufficient Evidence)
EPV 也將設計用來辨識由多個低嚴重性問題串聯而成的攻擊路徑，判斷某項安全控制措施是能夠阻擋整類攻擊技術，還是僅能阻擋常見的公開概念驗證 (PoC)，並自動產生可直接用於建立工單的修補建議。
這項功能在設計上將定位為提供建議的輔助功能，並以加值方式擴充現有能力。每項判定結果都會清楚標示為 AI 生成，並呈現相關佐證資料，同時由 Sophos 資安分析師審查結果。
Sophos 技術長 John Peterson 表示，目前資安團隊最常向我們反映的挑戰之一，就是需要篩選的安全發現結果數量龐大，而且難以判斷哪些問題最為重要，換句話說，也就是哪些問題會讓他們面臨最大的風險。攻擊路徑驗證 (EPV) 的設計目的，就是清楚呈現攻擊者能夠從環境中觸及哪些資產，並提供相關證據加以佐證，協助資安團隊優先修補真正重要的問題。
EPV 延續了 Sophos 與 OpenAI 的合作成果。Sophos 於 2026 年 6 月加入 OpenAI Daybreak Defense Network (前稱 OpenAI Daybreak Cyber Partner Program)。透過這項合作，Sophos 將前沿網路安全模型導入 MDR 調查、資安評估與相關工作流程，協助客戶發現、驗證並修補環境中的曝險。EPV 將進一步延伸這項合作成果，將相關能力導入客戶已在使用的 Sophos 產品中。OpenAI 的 GPT 網路安全模型將提供前沿的推理能力，協助評估漏洞是否可被利用；Sophos 則提供針對特定環境的證據與產品控制措施，並由 Sophos 分析師審查提供給客戶的結果。
OpenAI 全球網路安全合作主管 McCall McIntyre 表示，我們透過 OpenAI Daybreak Defense Network 的目標，是在確保安全的前提下，讓防禦者充分運用前沿 AI 的優勢。Sophos 自加入這項計畫以來，一直是我們值得信賴且審慎的合作夥伴。攻擊路徑驗證正是一個明確的例子，展現如何將前沿 AI 的推理能力應用於實際的網路防禦問題，同時採取負責任部署所需的安全防護機制。
EPV 目前正針對 Sophos Managed Risk 的大型及中型企業客戶進行開發。Sophos 將於日後公布 EPV 的推出資訊，包括搶先體驗及正式推出的時程。