中央消息

（中央社华盛顿24日综合外电报导）随着支撑全球大部分网站运作的PHP语言爆发两起重大安漏洞，各大企业与政府单位在本周纷纷展开紧急修补。

法新社报导，这项可能遭黑客利用的漏洞，是通过OpenAI的一款强大模型所发现，成为人工智能（AI）展现网络安全能力中最受瞩目的案例之一。

随着AI工具找出软件漏洞的速度突飞猛进，法新社特别专访网络威胁联盟（Cyber Threat Alliance）总裁、美国前总统欧巴马任内担任白宫网络安全协调官的丹尼尔（Michael Daniel）剖析这起事件代表什么意义。

问：PHP这起事件给了我们什么启示？

答：考量到先进模型的能力，我们正进入一段相当混乱的时期。多年来我一直指出，这些AI模型能够快速、大规模找出漏洞，顺理成章的结果就是，漏洞将大量涌现。

美国国家安全局前网络安全主管乔伊斯（Rob Joyce）曾将这种情况形容为一场「大规模清理旧软件的森林大火」。我则形容这是我们长期累积的「技术债」终于迎来了总算帐。

长期以来，市场的诱因都是鼓励大家尽可能延长软件的使用寿命，而我们在计算使用软件的成本时，并未真正将这些风险纳入考量。企业帐面上不会因为继续使用这些旧软件而直接产生成本，但实际上，这些成本确实存在，只是在类似这次的事件发生之前，它们一直是隐性成本。

问：各个组织应该采取哪些措施？

答：要做好更新软件的准备，确保软件能持续更新，并在修补程序推出时，随时准备好安装。

接下来将会有大量漏洞、大量修补程序，以及大量缓解措施涌现，但这些更新的优先级与影响程度各不相同。

对许多内部资源有限的小型组织而言，必须调整组织的运作方式，让自己能够以最快的速度导入原厂提供的更新。

问：每个漏洞都具有危险性吗？

答：从历史数据来看，漏洞遭利用的比率约为5%至6%，目前没有迹象显示这个数字正在上升。但现在，黑客一旦利用漏洞发动攻击，速度就快得多。

过去，要开发出概念验证通常需要花一、两个月，接着还要再过一到两个月才会集成进不法分子使用的攻击工具包中。如今，这个过程已缩短至数小时或数天。

问：这对大型企业有什么影响？

答：大多数企业过去对系统故障基本上采零容忍态度，所以他们会对修补程序进行千锤百炼的测试后才敢实际上线。但现在，他们没有那么多时间了。

如果安装修补程序导致系统故障的风险是1%，但遭受攻击的潜在损失可能高达5000万美元（新台币16.3亿元），那么现在就得仔细权衡这两者的风险。

问：先进的AI工具在寻找真实漏洞方面可靠吗？

答：其中有很多杂讯。PHP这起事件就是找到真实漏洞的典型案例，但目前也有大量漏洞并不是真正的漏洞，或是存在于从未暴露于网络的软件中。我们必须改善漏洞的分类与优先排序机制。

问：这在2、3年后会引领我们走向何方？

答：未来我们会在软件还没正式上线前，就先用AI工具进行全面扫毒，所以有理由相信，新一代软件从诞生之初就会安全得多。这就像清除所有老旧的东西，为新的成长腾出空间，让新软件从一开始就具备更高的安全性。

这并不代表我们的网络安全问题就此解决，但它确实彻底改变了未来资安问题的本质。（编译： 陈昱婷 ）1151025

选择与事实站在一起，您的每一份赞助，都是守护新闻自由的力量

下载中央社「一手新闻」APP，即时掌握最新消息

本网站之文本、图片及影音，非经授权，不得转载、公开播送或公开传输及利用。