漏洞利用已跑在修補之前：AI 時代的開源安全——專訪 Chainguard 的 Patrick Smyth

軟體供應鏈公司 Chainguard 的員工 Patrick Smyth 主張，開源安全的經濟邏輯已經翻轉：現在漏洞利用往往先於修補程式出現，而前沿 AI 讓每個攻擊者的有效能力都提升了一個等級。這場演講大部分時間花在威脅形勢上——AI 輔助攻擊、不斷縮短的修補視窗、一波供應鏈蠕蟲，以及 CI/CD 和開發者筆電這類新的「軟目標」側門——之後才轉向 Chainguard 的產品解方（Wolfi、Chainguard Libraries、Actions、Agent Skills、Athena 零日漏洞聯盟）。標題的框架合理但偏窄：「漏洞利用跑在修補之前」這個資料點，只是整場關於強化整條供應鏈的推銷中的一頁投影片。

Smyth 很有資格做這個論述——Chainguard 的創辦人打造了 Kubernetes、Sigstore 和 SLSA，公司自 2021 年起就一直在處理供應鏈問題。以下是有條理地整理他的主張、他引用的數字，以及他建議的具體修補節奏；他的說法一律歸在他名下，不當成既定事實重述。

修補視窗已經變成負值，而 AI 很可能是元兇

Smyth 的頭條資料：從漏洞被利用到修補程式可用之間的平均時間，已經由正轉負。2018 至 2019 年，修補程式平均比漏洞利用早 63 天出現。這個差距在 2021、2022 年持續收窄——他歸因於數位化的長期「世俗趨勢」，醫院這類機構突然開始跑 Python——然後照他的說法，在 2023、2024、2025 年「就這樣沒了」。他引用的當前數字是負七天：平均而言，漏洞利用現在比修補程式更早發生。

他謹慎地標明這個數字有雜訊（畢竟是平均值），但把方向本身當成重點。他把這個轉折點連結到前沿模型，以及新型零日漏洞來源的興起，點名 Mythos，並提到 ChatGPT 現在有「Daybreak」、Astra 也有這方面的能力。他的主張是：前沿模型非常擅長把大量較小的漏洞串接成可用的攻擊工具，這擴大了零日漏洞的版圖。

實際的犧牲者是經典的修補時程。Smyth 走了一遍舊模式——用 Grype 或 Trivy 這類工具掃描你的技術堆疊，拿到一份依嚴重度分為重大／高／中／低的 CVE 清單，交給團隊在 30 天內修補完——他說面對幾乎立刻撲向已知漏洞的攻擊者，「30 天跟一百萬年沒兩樣」。他提到 Trivy 本身「今年過得很慘」，也遭到攻擊。

每個人都升一級威脅，一個人現在就能像 APT 一樣行動

Smyth 對 AI 時代威脅模型的說法是爬梯子：「大家都往上跳一級。」一名工程師現在的行動能力相當於一個團隊；一個團隊現在的行動規模相當於進階持續性威脅（APT）。他用過去一年的三個案例佐證：

貫穿其中的主線是：好用的工具已經把發動一場攻擊行動所需的技術與人力壓到極低。Smyth 對大阪案的一句旁註——「人在那個年紀可以非常聰明，也可以非常蠢」——正好捕捉了這種模式：先是精密的入侵，接著卻是拿盜來的憑證做極其瑣碎的個人用途。

供應鏈蠕蟲現在是每月甚至每天的事，不是每年

Smyth 以前會做一份供應鏈攻擊的「迷因月曆」，每個月放一個重大事件。他說這個節奏已經過時——他現在可以「做一份每天的迷因月曆」。他特別點出四起事件，其中三起來自 2026 年 3 月：

• Trivy——漏洞掃描器本身遭到攻擊。
• LiteLLM——AI 代理用的路由器。
• Axios——供應鏈攻擊只上線了兩小時，仍達到60 萬次下載。
• Shai-Hulud——JavaScript 生態系的蠕蟲（以《沙丘》的沙蟲命名），證明大規模蠕蟲確實可行，並衍生出大量模仿者，還有一個「沙蟲模式」變體。

他強調的機制是串接：因為每個人都依賴別人的套件，攻破一個維護者就會連鎖波及他的下游使用者。他也提到有些攻擊者程式碼裡藏著有趣的命名和註解，但告誡大家別太樂在其中。

核心問題是結構性的：你要對使用者負責，卻得從無法完全審查的上游取用

Smyth 把軟體供應鏈安全簡化成一個清楚好懂的形狀。你有使用者，他們依賴你的基礎設施，你對他們負有責任。你則從上游取用——那些你試著審查、試著跟上，卻無法完全掌控的儲存庫與維護者。你取用的任何東西都可能攻破你，再透過你攻破你的使用者。每個人都卡在這個「進退兩難」的處境裡。

他用「永恆的九月」來描述環境的轉變——那個歷史時刻：原本客氣、高信任度的大學校園網路，每年九月都被不懂規矩的新生淹沒。他的重點是：環境會自然從高信任漂移向充滿對抗的低信任，而這種漂移現在是永久的，而且還在加速。「冰山問題」是必然的推論——你執行的程式碼裡，大概只有 1–2% 是你自己的應用程式碼（他的估計），其下的作業系統、語言執行環境與應用層承載了大部分漏洞，而且大致在你的掌控之外。他把由此形成的困境稱為「我老闆叫我把 Ubuntu 修好」問題。

攻擊者已轉向軟性側門：CI/CD、筆電與代理層

正門——正式環境的程式碼——防禦相對完善，所以 Smyth 說攻擊者現在改打沒人盯的層：

• CI/CD 管線——設定錯誤、依賴繁重、審查不足。
• 開發者工作站——就算你的建置系統設了冷卻期，開發者筆電直接拉進惡意套件也照樣中招；他舉 macOS 竊取程式為證。
• 代理層——新、變化快、大家理解不足，而且可以在模型層被下毒。

他把威脅面分成四類，各自需要不同的防禦：

Chainguard 的答案：重建底層、全面簽章、空運原始碼

Smyth 把 Chainguard 的產品呈現為對每個威脅面的直接回應。基礎是 Wolfi，一個從零打造（自 2021 年起）的 Linux 發行版，採滾動式更新，上游幾乎只有維護者自己的程式碼。映像檔每天重建一到四次；公司刻意不固守穩定版本，並讓映像檔保持最小——他指出這也縮小了零日漏洞的曝險。修補的 SLA 是 1／7／14 天：已知被利用的漏洞一天、重大漏洞七天、其餘十四天——他把這個節奏拿來對比 30／60／90 的模式，並指出許多團隊根本不會去處理中低嚴重度的問題。

在惡意程式這一面，Chainguard Libraries 取用乾淨的上游原始碼，把它從維護者的發布頁與 CI/CD「空運」出來，自行建置、掃描與分類，再交給下游——讓整類原始碼之後的攻擊「在結構上不可能發生」。在零日漏洞方面，Athena 聯盟扮演交換中心：蒐集已知零日漏洞並回饋給成員，Smyth 說這項工作正與大型銀行和科技公司合作進行。在側門方面，Chainguard Actions（可免費試用，可直接替換 GitHub Actions）與 Chainguard Agent Skills 透過確定性與代理式的管線步驟，強化第三方 CI/CD actions 與 agent skills。

他也提出一個與產品無關、但他說公司無論如何都在意的論點：用 Sigstore 為所有東西簽章，並附上 SLSA 出處證明，然後在另一端驗證簽章。這能打造真正零信任的管線，並抵禦當前威脅形勢中主流的標籤竄改、下載頁面與依賴攻擊。

Agent skills 是活躍的感染途徑——其中相當比例是惡意的

Smyth 與產品相關、最驚人的統計數字，是關於 agent skill 生態系。根據他自己近期的分析，上游儲存庫上大約 5% 的 agent skills 是主動惡意的，另有 30–40% 帶有嚴重的安全問題，即使並非刻意為惡。他提到今年稍早的數字約是 20% 惡意，之後已有變化。Chainguard Agent Skills 會強化上游的第三方 skills，也讓組織上傳自家 skills 進行強化與內部盤點。他請大家去看 Chainguard YouTube 頻道上一支簡短的 Machinima 風格解說影片，瞭解管線的運作機制。

現在該做什麼，以及在哪裡找到講者

Smyth 的結論很直白：「該認真了」，因為現在的環境比 2023 或 2024 年實質上惡劣得多。他的優先事項清單：

• 對套件強制執行冷卻期。
• 比以往更快修補 CVE。
• 用 Sigstore 與 SLSA 出處證明為產出物簽章。
• 強化開發者筆電，包括實體安全金鑰。
• 完成容器化與 CI/CD 專案——他主張這些基本功現在已是其他現代化工作的前提，而 AI 能幫團隊「跳級」完成。
• 建立黃金映像檔計畫並集中管理容器。

他預告了 Chainguard 接下來的活動：當週（2026 年 10 月 26 日那一週）的 Assemble London，以及 2026 年 11 月 5 日的 Open Source Finance Forum，由執行長 Dan Lorenc 與 Athena 聯盟的領導人出席。攤位是 #23，「在一根大柱子後面」。他的 LinkedIn 放在投影片上，最後以章魚 Wolfi 作結——「世界上最小的章魚」，只有指甲大小——作為最小化的吉祥物。

貫穿主線與未解的問題

Smyth 推銷的綜合論點是連貫的：AI 同時加速了程式碼生產與攻擊能力，「修補先於漏洞利用」的假設已死，唯一持久的解方是縮小並強化你自己應用程式碼以下的一切——最小化映像檔、簽章產出物、從原始碼建置的依賴，以及聯盟共享的零日漏洞。未解的張力在於成本與可行性。Smyth 承認這些工作「要花錢」也「很痛苦」，而他自己的數字（只有 1–2% 的程式碼是你的；5% 的 agent skills 是惡意的）意味著防禦面遠大於多數團隊能配置的人力。Athena 這類聯盟模式與強化過的即插即用 actions 究竟能補上這個缺口，還是隻是把負擔轉移出去——這是演講提出卻沒有回答的問題。值得持續追蹤：Athena 聯盟的成員與揭露節奏，以及負值修補視窗會持續存在，還是會在防禦方自己也採用前沿工具後回歸正值。