安全 AI 越強，企業為何越缺人？一次漏洞修復就能調動上百名 IT 員工

AI 正在顯著加快漏洞發現，但企業真正頭疼的環節發生在掃描之後。

來源：金十數據

AI 加快發現軟體漏洞，一些企業卻在增加安全崗位和預算。據 The Information 本週報導，全球 IT 服務商 Diversified 計劃未來一年將安全軟體預算提高約 20%，並至少增聘三名全職網路安全人員。

修補工作的規模正在解釋這筆新增開支。《紐約時報》同報導，一項近期披露的 PHP 漏洞需要修改約 200 個檔案。研究人員發現問題後，多家公司與開源維護者花了數週協調修復，再通知有關機構協助部署補丁。

應急修補佔用了日常開發人手

Diversified 最近處理 PHP 及網頁流量壓縮庫 Brotli 的漏洞時，調動了約 100 名 IT 員工中的大部分人。參與者包括平時不直接從事安全工作的分析師和工程師，他們需要排查哪些雲應用、網頁可能受影響，並安裝補丁。

該公司首席資訊官向 The Information 表示，修復涉及的工作遠超一次簡單更新，正在擠佔日常運營時間。公司擬增加的安全軟體開支，包括能夠自動監控應用的 AI 工具；新增專職人員則用於應對實際修補需求。

企業軟體初創公司 Atomicwork 也經歷了集中排查。首席執行官維傑·拉亞帕蒂（Vijay Rayapati）上週要求約 30 名軟體工程師暫停手頭工作，優先處理網路安全問題。公司最終確認沒有受到相關威脅的直接影響，但仍投入了排查人力。

拉亞帕蒂計劃，今後每招聘三名技術員工，就配置一名網路安全工程師。他預計未來一年，專注網路安全的工程師人數將增至約 27 人，達到目前的約三倍。這是公司的招聘計劃，尚未全部落實。

找到漏洞之後，還有確認、修復與部署

《紐約時報》對 PHP 修補過程的報導顯示，安全公司 Calif 的研究人員從 7 月開始，借助 AI 代理檢查這門程式語言，發現了隱藏十餘年的漏洞。隨後，他們聯繫 PHP 維護者及發現類似漏洞的 Wiz 團隊，共同推進修復。

參與工程師通過專用溝通渠道協作，並每天通話協調。臨近完成補丁時，團隊還通知政府機構和互聯網基礎設施公司 Cloudflare，幫助擴大部署範圍。檢測輸出之後，程式碼修改和跨機構協調仍需要投入時間。

開源維護者也要先判斷報告是否有效。《紐約時報》指出，自去年底起，一些專案收到大量由 AI 生成、未經充分測試的漏洞報告，也收到確有價值的發現。根據 OpenJS 基金會的數據，Node.js 今年已確認並修復 50 個漏洞，超過其以往任何一年。

漏洞披露與攻擊成功之間仍有距離。Axios 本週援引安全研究人員稱，近期 PHP 漏洞雖然引發大量攻擊嘗試，但構造有效攻擊的難度較高，成功案例有限，企業防禦工作也發揮了作用。

掃描帳單促使企業尋找更低價模型

安全團隊擴員之外，AI 掃描本身也是一項費用。企業軟體公司 UiPath(PATH.N) 首席資訊安全官斯科特·羅伯茨（Scott Roberts）向 The Information 表示，使用 Anthropic 的 Mythos 掃描一個程式碼庫約需 2.5 萬美元；公司擁有數百個程式碼庫，近期已通過更便宜的開源模型削減這類開支。

摩根士丹利本週一的研報將低價模型與安全工作聯繫起來。該行認為，開放權重模型有望降低日誌等運行數據的處理、告警調查、威脅分類及自動響應成本；客戶或競爭對手也可能用這些模型，替代部分原本需要額外付費的安全功能。

研報同時指出，較低的推理成本可能帶來更多使用量，節省最終由軟體商還是客戶保留，取決於競爭與定價方式。

The Information 還採訪了一家美國大型能源企業的首席資訊安全官。該人士稱，公司以約 3000 萬美元為基數的網路安全預算，今年較去年增加超過 10%，新增開支用於 Mythos 及現有安全產品的 AI 附加功能。

這家企業原有的郵件保護和數據監控工具，對持續運行的 AI 功能另行收費。為支付新增功能，公司已經提前動用了明年的網路安全預算。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。