據外媒報導，大型語言模型（LLM）正縮短漏洞從公開到遭利用的時間。多位資安業者與保險業者指出，近期數個備受關注的重大漏洞在公開後數小時內便遭到實際利用，速度遠快於過去所需的數天甚至數週。面對數百個新揭露的漏洞，資安團隊必須更審慎地安排修補優先順序。
攻擊者也用 AI 分析修補程式
報導指出，前沿 AI 模型已能發掘新漏洞，協助研究人員找出更多漏洞；上個月漏洞數量龐大的 Patch Tuesday 即為一例。另一方面，攻擊者也能運用 AI 更快分析修補程式、開發攻擊工具。
威脅情資業者 SOCRadar 資安長（CISO）Ensar Seker 表示，攻擊者將漏洞武器化的速度快上許多。他指出，資安團隊必須從數百個已揭露的漏洞中，審慎排定修補優先順序。他也提醒，企業不宜將 Patch Tuesday 視為「全部立即部署」的例行作業。CVE 數量龐大，部分修補程式在特定環境中也可能引發非預期副作用。
靜默修補也藏不住
資安業者 watchTowr 創辦人暨執行長 Benjamin Harris 指出，AI 大幅降低了分析修補程式的門檻，即使原廠沒有提供說明也一樣。他以近期的 NetScaler 零時差漏洞（zero-day）為例。據外媒報導，原廠 Citrix 當時並未充分說明相關威脅。
延伸閱讀：美CISA將Citrix NetScaler漏洞列入已知遭利用清單，啟用SAML驗證設備須速升級
Harris 認為，「以隱匿求安全」的做法早已備受質疑，在 AI 時代更難奏效。攻擊者可利用大型語言模型（LLM）快速分析更新內容，判斷修補了哪些問題，包括原廠未公開說明的靜默修補，不必等待漏洞公告或技術細節。
保險業者：不能倚賴模型安全護欄
網路保險業者 Coalition 負責承保資安業務的副總裁 Joe Toomey 表示，AI「100%」加快了漏洞遭利用的速度，企業必須正視這項變化並採取因應措施。他指出，公開漏洞增加後，公司觀察到需要採取行動並通知保戶的案件也跟著增加。
Toomey 更表示，我們不能倚賴前沿模型的安全護欄或技術禁令，因為開放權重（open-weight）模型已經存在。
自動修補需要成熟流程配合
談到因應方式，Toomey 認為自動修補值得考慮，但組織必須具備成熟流程，並謹慎推行。他建議企業建立分批發布（release rings）機制，讓使用者訂閱搶先版本，逐步推送修補程式，並監控更新後系統的運作狀況。確認沒有異常回報後，再擴大部署範圍。
不過，他也坦言，自動修補並非適用於所有組織。企業若要運用 AI 強化防禦、跟上漏洞遭利用的速度，仍需要時間。Toomey 表示：「從長遠來看，我們或許會做得更好，但短期內一定會經歷陣痛。」
本文轉載自 DarkReading。