AI 如何顛覆資安防禦 | Decoder

Cognition 資安長 Alex Stamos 認為，過去二十年累積出數千億美元規模的資安產業已經走到盡頭，因為開放權重（open-weight）AI 模型現在讓任何人都能以近乎零的邊際成本，把整條攻擊鏈自動化。整段對談大部分圍繞這場崩解打轉——2026 年 10 月那波入侵潮、攻防之間的經濟帳，以及他為何認為這個產業正進入「黑暗時代」；至於標題裡的 AI 垃圾內容與 Instagram，則要到最後一段才出現，而且只是簡短談到如何驗證真實內容，而不是偵測偽造內容。

Stamos 帶進來的是第一線實戰者的視角：他早年混過 Def Con，後來在 Facebook 擔任資安高層，現在則在一家 AI 程式開發公司任職。他看到的是防禦方的成本曲線追不上攻擊方。讀者讀完應該能具體掌握 2026 年究竟改變了什麼、有哪些具體事件標誌這個轉折，以及 Stamos 認為能縮短這段壞日子的幾項結構性押注——便宜的防禦模型、自動修 bug、用 Rust 重寫 Linux 核心。

攻擊鏈已經反轉，指令碼小子如今握有菁英技能

Stamos 的核心論點是：AI 把資安產業長年建立其上的技能階層整個壓平了。過去，由少數菁英研究員組成的研發層預先找出漏洞、寫好攻擊程式，再由人數較多、技術較淺的作戰層負責部署。現在 AI 系統可以即時掃描目標、找出漏洞、寫出攻擊程式，所以那幾百人組成的「神級」漏洞研究圈，不再是能力的瓶頸。他把這個轉折定在 2026 年初，並拿來跟 1990 年代末的 Windows 時代相比——差別在於，90 年代的世界並不靠網際網路運轉，而且那幾百個有本事的人大多擠在拉斯維加斯同一個房間裡，而且大多不是罪犯。

他反覆提到的一項工具是 RTex，一套中國的開源攻擊工具，GitHub 上有英文版。他說，這套工具背後跑的是某種量化過、被「搗爛」的 GLM 53 模型，在本機執行，能攻進數量多到嚇人的組織。一開始是三家韓國銀行；到訪談那一週，又多了大約 200 家公司受害。他強調，攻擊者已不再需要附帶防護機制與日誌的前沿模型——一臺跑著開放權重模型的 Mac Studio 就夠了。

「已經很久沒有這種事了：你只要下載一套開源工具，就能攻進市值數十億美元的公司。這簡直像 90 年代。」

他把這些攻擊歸因於多種行為者，而非單一來源：AI 公司遭駭，是「中國的地下存取產業」所為（小型承包商會先攻破系統，再把存取權賣給大型中國公司）；加密貨幣竊案則是北韓團隊。至於 Binance 被駭——他稱之為人類史上最大規模的竊案——他認為主要靠的是人力情報與社交工程，而非 AI。

2026 年 10 月是一波連續不斷的入侵潮，攻擊在不同公司之間串接

Stamos 把 2026 年 10 月——傳統上的資安意識月——形容為處於「Def Con 2」警戒狀態的一個月：一位 CISO 朋友在群組裡問大家累不累，所有人都回「累」。這個月的關鍵特徵是連鎖淪陷：一起入侵取得的憑證，成了下一家的破口。

flowchart TD
    A["Fireworks（AI 服務供應商）遭駭"] --> B["API 金鑰被竊"]
    B --> C["Cursor 遭駭"]
    C --> D["惡意外掛推送到 5,000 家公司"]
    D --> E["5,000 家潛在的下游受害者"]

除了這條鏈，他還列出一連串遭駭的 AI 公司（所謂的「Neo Clouds」）、Binance 竊案，以及 PHP 與 Node 的重大漏洞。他指出，PHP 那個漏洞後來發現實際上很難在真實環境中利用——「像一顆擦身而過的小行星」——要是它更容易自我複製擴散，後果會是災難。

防禦方輸在成本，解方是更便宜的模型，光靠更會找 bug 不夠

Stamos 首先把這件事當成經濟問題來看。攻擊者每個 Token 的成本正趨近於零，防禦方的成本卻居高不下。他提到一位任職於大型資安平臺的朋友說，在他們的產品上用前沿網攻模型跑一次調查，要價 900 美元——當攻擊者用 Mac 或改裝的挖礦機、以零邊際成本行動時，這個價格根本撐不住。Cognition 的做法是重新訓練開放權重模型，把這個成本壓下來。

他也認為，業界過度把重心放在找 bug 與修 bug 上。他說，軟體安全只佔 CISO 工作的約 25%；另外那 75%——營運安全、盯日誌、分流告警、決定怎麼回應才不會讓公司停擺——得到的幫助少得多，有些地方甚至變得更糟。這些 SOC 工作必須分層交給 AI：用傳統分類器（TF-IDF、機器學習模型）處理數 TB 的日誌，再往上交給小型 LLM，最後才交給大型模型。

他指出，前沿網攻模型只會用在最重要的程式碼上；那幾千億行「Infosys 十五年前寫的爛 C# 和 J2EE 程式碼」，永遠等不到前沿模型來處理，所以真正的決勝點在於那裡的成本效率。

自主防禦必須有硬性上限，「蜂群」一詞是警訊

被問到防禦性 AI 代理能否對抗自主攻擊者時，Stamos 贊成把第一、第二層的防禦決策交給 AI，但必須有人類監督，而且要有確定性的上限。在 Cognition，他把這套機制建構在自家 SOC 產品 Devon 之上，設定像是「可以在 Okta 停用帳號，但只能停用這麼多個」的上限，這樣一來，代理就算出錯，也不會把整家公司鎖在門外；一旦觸及上限，就會通知真人處理。

他對「蜂群（swarm）」這個詞極度不以為然。他估計 OpenAI 那起事件動用了大約 700 到 1,400 個代理、3 億到近 10 億美元的硬體，而實際攻擊 Hugging Face 可能只花了約 100 萬美元的電費——沒有攻擊者會這樣做。那些代理大多在做不相干的任務，只是被順手徵召，這可說是攻擊目標「最沒效率的方式」。他的原則是：誰講出「蜂群」，在他心中的技術可信度就先打八折。他說，RTex 那些攻擊幾乎可以肯定只出動了一個代理，頂多兩個。

「如果有人真的用了『蜂群』這個詞，我對他的技術意見立刻打個兩折。」

企業必須在 90 天內對自己發動攻擊，即使法律風險仍未解

Stamos 最具體可行的處方是：每家公司都必須在未來 90 天內對自己跑一次 AI 紅隊演練，不管是用 RTex、同類的 AI 紅隊產品，還是委外請廠商——否則一定會被攻破。他也坦承當中的荒謬：這些工具不具確定性，廠商口頭保證安全，合約卻把所有責任撇清，而多數公司的供應商風險流程與法務流程根本無法核准這種風險。替代方案就是：一個 19 歲小子關掉《決勝時刻》，在電競 PC 上跑 RTex，然後攻進一家政策上禁止自我紅隊演練的銀行。

他把同樣的邏輯套用到修補上：一家公司把所有程式碼儲存庫接進來，用 Mythos 等模型掃描，找出並修掉數千個 bug，用自動產生的測試驗證，再自動合併 PR，這樣的工作現在只要幾天，而不是幾年。他的經驗法則是：如果一次掃描找到 10,000 個 bug，照規格與測試重寫程式碼，現在比逐一修補還便宜。

Linux 核心應該分叉，由 Google 和 Amazon 用 Rust 重寫

Stamos 認為，基礎設施「修補—重開機」的迴圈已無法持續。每一個新的前沿模型都會產生一批新的「超人級 bug 池」——先是 Mythos，再來 Mythos preview，然後 Mythos 5.1，接著 Astra Cyber，每一波都帶來新一輪 Linux 核心修補。他希望 Google 和 Amazon——他說只有這兩家公司負擔得起——花大約 1 億美元把核心分叉，砍掉沒人用的驅動程式，用記憶體安全、型別安全的語言重寫，加上契約式驗證，然後跑在自家雲端上。他點名 Sundar Pichai 和 Andy Jassy，說這兩個人只要一對一談一次就能拍板。

「我們才剛碰上 Linux TCP 堆疊的一個 bug。這太離譜了。我們不能再這樣下去。」

他承認驅動程式是個問題（那些硬體早就沒人有了），但主張真正重要的是生產環境的伺服器硬體，而且分叉版本不必聽 Linus Torvalds 的。他也提到，Patch Tuesday 的修補數量呈幾何級數成長——從大約 150 到 200 個，到 300 個，再到 600 個，最近一次約 900 個——他說，這個數字反轉，以及每個新前沿網攻模型發布後隨之而來的修補潮縮小，就是「黑暗時代」正在結束的訊號。

黑暗時代撐得過去，真正的 AI 風險是人類能力被放大，而非奇點

Stamos 既不接受末日論，也不接受勝利論。他預期會有一段黯淡期，之後隨著中位數水準的程式碼變成由 LLM 以記憶體安全語言撰寫而好轉——但不會完美，因為許多入侵根本不需要軟體漏洞。他明確表示，他擔心的從來不是 AI 導致人類滅絕的風險；他認為那類論述有很大一部分出自只做過 AI、沒做過別的事的年輕研究者，並拿自己小時候的民防演習作對比。他的焦點是人類拿 AI 去傷害其他人類。

他也對那些擋住正當防禦者的防禦性護欄感到憂心：做事件應變的公司已經會被 OpenAI 和 Anthropic 拒絕，非美國的防禦者待遇更差，他說這正在激怒世界其他地區。至於放慢前沿發展，他說他不反對暫停前沿能力、先把便宜的防禦模型追上來，但「我活在他們的世界裡」——那個世界是六條街外、有錢得多的人打造出來的。

偵測偽造是必敗之戰，驗證真實內容才有勝算

Instagram 那段來得晚，也談得短。Stamos 的框架是：偵測 AI 內容是機率性的，幾乎不可能做到完美；驗證真實內容則可以做到密碼學上的絕對可靠——所以要挑打得贏的那一仗。他套用自己在 Facebook 的經驗法則：Meta 不想做某件事時，技術困難就成了藉口；真想做的時候，就會「全力以赴」。他說他家三個青少年都討厭 AI 垃圾內容，並預測會有競爭者顛覆 Instagram：直接從相機取得影像，把編輯限制在一個沒有 AI 管線的 App 裡。就 Instagram 而言，保管鏈是可行的，因為它只跑在 iPhone 上、只在 App 內運作。

「Facebook 不想做某件事時，會讓技術挑戰擋住自己。Facebook 真的很想做某件事時，就會全力以赴。」

他也警告，社交工程就緊鄰這個問題——他得告訴自己父母，收到聲稱孫子被綁架的影片時，應該先打通電話確認，因為那是真的的機率很低。

貫穿這幾段的主軸，是產業花錢的地方與風險所在的地方對不上：前沿的找 bug 技術備受關注，便宜的防禦性分流、自主修補與基礎設施重寫卻資金不足。未解的張力在於，Stamos 提出的解方——自我紅隊演練、核心分叉、便宜的防禦模型——全都需要有人先吸收近期的成本與法律風險，換取分散在未來的利益，而這正是他說美國機構最不擅長的行為。值得追蹤的指標，就是他提出、主持人也同意發布的那個：「黑暗時代指數」，追蹤入侵件數、核心函式庫中可自我複製擴散的 CVE，以及每次新前沿網攻模型發布後 Patch Tuesday 的修補量是否下降。