安全AI越強，企業爲何越缺人？一次漏洞修復就能調動上百名IT

AI加快發現軟件漏洞，一些企業卻在增加安全崗位和預算。據The Information本週報道，全球IT服務商Diversified計劃未來一年將安全軟件預算提高約20%，並至少增聘三名全職網絡安全人員。

修補工作的規模正在解釋這筆新增開支。《紐約時報》同日報道，一項近期披露的PHP漏洞需要修改約200個文件。研究人員發現問題後，多家公司與開源維護者花了數週協調修復，再通知有關機構協助部署補丁。

應急修補佔用了日常開發人手

Diversified最近處理PHP及網頁流量壓縮庫Brotli的漏洞時，調動了約100名IT員工中的大部分人。參與者包括平時不直接從事安全工作的分析師和工程師，他們需要排查哪些雲應用、網頁可能受影響，並安裝補丁。

該公司首席信息官向The Information表示，修復涉及的工作遠超一次簡單更新，正在擠佔日常運營時間。公司擬增加的安全軟件開支，包括能夠自動監控應用的AI工具；新增專職人員則用於應對實際修補需求。

企業軟件初創公司Atomicwork也經歷了集中排查。首席執行官維傑·拉亞帕蒂（Vijay Rayapati）上週要求約30名軟件工程師暫停手頭工作，優先處理網絡安全問題。公司最終確認沒有受到相關威脅的直接影響，但仍投入了排查人力。

拉亞帕蒂計劃，今後每招聘三名技術員工，就配置一名網絡安全工程師。他預計未來一年，專注網絡安全的工程師人數將增至約27人，達到目前的約三倍。這是公司的招聘計劃，尚未全部落實。

找到漏洞之後，還有確認、修復與部署

《紐約時報》對PHP修補過程的報道顯示，安全公司Calif的研究人員從7月開始，藉助AI代理檢查這門編程語言，發現了隱藏十餘年的漏洞。隨後，他們聯繫PHP維護者及發現類似漏洞的Wiz團隊，共同推進修復。

參與工程師通過專用溝通渠道協作，並每天通話協調。臨近完成補丁時，團隊還通知政府機構和互聯網基礎設施公司Cloudflare，幫助擴大部署範圍。檢測輸出之後，代碼修改和跨機構協調仍需要投入時間。

開源維護者也要先判斷報告是否有效。《紐約時報》指出，自去年底起，一些項目收到大量由AI生成、未經充分測試的漏洞報告，也收到確有價值的發現。根據OpenJS基金會的數據，Node.js今年已確認並修復50個漏洞，超過其以往任何一年。

漏洞披露與攻擊成功之間仍有距離。Axios本週援引安全研究人員稱，近期PHP漏洞雖然引發大量攻擊嘗試，但構造有效攻擊的難度較高，成功案例有限，企業防禦工作也發揮了作用。

掃描賬單促使企業尋找更低價模型

安全團隊擴員之外，AI掃描本身也是一項費用。企業軟件公司UiPath(PATH.N)首席信息安全官斯科特·羅伯茨（Scott Roberts）向The Information表示，使用Anthropic的Mythos掃描一個代碼庫約需2.5萬美元；公司擁有數百個代碼庫，近期已通過更便宜的開源模型削減這類開支。

摩根士丹利本週一的研報將低價模型與安全工作聯繫起來。該行認爲，開放權重模型有望降低日誌等運行數據的處理、告警調查、威脅分類及自動響應成本；客戶或競爭對手也可能用這些模型，替代部分原本需要額外付費的安全功能。

研報同時指出，較低的推理成本可能帶來更多使用量，節省最終由軟件商還是客戶保留，取決於競爭與定價方式。

The Information還採訪了一家美國大型能源企業的首席信息安全官。該人士稱，公司以約3000萬美元爲基數的網絡安全預算，今年較去年增加超過10%，新增開支用於Mythos及現有安全產品的AI附加功能。

這家企業原有的郵件保護和數據監控工具，對持續運行的AI功能另行收費。爲支付新增功能，公司已經提前動用了明年的網絡安全預算。