黑色十月！網際網路到底怎麼了？

Cantina Security 執行長 Hari Mulackal 認為，「黑色十月」這波資安恐慌是公開的轉折點，而非新現象：AI 驅動的駭客攻擊大約已規模化發展 18 個月，而攻擊任何一家公司的成本正趨近於零。他與 Phylax 執行長 Odysseas Lamtzidis 在對談中，大部分時間都在討論可規模化攻擊的經濟學、揭露漏洞數量的暴增，以及防禦方和個人在未來 12 到 18 個月該怎麼做。本週的頭條事件本身只簡短帶過；這一集主要是前瞻性的威脅簡報。

兩位來賓都經營資安新創，談的都是實戰經驗。Mulackal 的公司銷售一款名為 Apex 的攻擊型資安代理，客戶包括 Coinbase、Robinhood Crypto 和 Mastercard；Lamtzidis 的 Phylax 則保護 Linea 生態系，並正在籌備新的網路發布。讀者讀完應該能清楚理解：為什麼駭客攻擊已變成工廠式生意、為什麼「零日時鐘」已經轉為負值，以及一份保護資產與資料的具體個人檢查清單。

駭客攻擊已成工廠式生意，邊際成本趨近於零

Mulackal 的核心論點是：駭客攻擊改變的不只是數量，而是範圍。過去要入侵一家公司，需要優秀人才投入數週甚至數月，而且攻擊者最後必須有利可圖，才值得付出這些心力。這讓駭客攻擊成為量身打造、無法規模化的生意。他說，現在你可以打造一座工廠，輸入一個網址，就能產出漏洞利用，全程無需人工介入，成本大約 10 美元，而人工則要花兩週。由於成本微不足道，投資報酬率的問題根本不存在。

他量化了這個趨勢：依其公司內部衡量，2026 年 1 月已有的能力，現在便宜了約 15 倍，而他預期成本每 6 到 12 個月還會再降 10 倍。Lamtzidis 補充這對目標選擇的影響：加密貨幣過去是明確的目標，因為最後的錢很明顯，而 Web2 的變現方式則較模糊。但在成本趨近於零的情況下，攻擊者已不需要事先回答變現的問題。

「駭客攻擊現在已經可以規模化了，你可以打造一座工廠，給它一個網址……我們就去駭它。你甚至不用考慮成本，因為它只要花 10 美元左右，而不是兩週的人力。」——Hari Mulackal

Mulackal 將隨之而來的網路犯罪模式描述為大規模勒索：入侵資料庫或威脅要入侵，除非受害者付錢。他指出，過去從事大量釣魚攻擊的同一批人，正轉向零日漏洞利用，因為現在的經濟效益足以支撐。

大眾恐慌落後於一個已存在 18 個月的趨勢

兩位來賓都不認同「上週前所未見」的說法。Mulackal 表示，事件已持續增加約 18 個月，而且許多從未公開曝光；PHP 相關事件和幾起醫療保健業的入侵事件，只是剛好上了新聞。他將能力出現轉折的時間點定在 2026 年 1 月左右，當時模型在資安方面已夠強，成本也夠低，可以同時對大量公司發動攻擊。Cantina 從今年開始執行大規模的漏洞揭露行動。

Lamtzidis 將這個轉變定調為「靠隱蔽性提供安全」的崩解。去年的攻擊潮是社交工程和深偽，屬於針對性攻擊。新一波則是廉價、大範圍掃描整個網際網路。他指出，網際網路從來不像加密貨幣那樣是一片「黑暗森林」，而那些建立在隱蔽假設上的組織，現在都暴露了。

揭露數量的暴增反映在 CVE 資料上。Mulackal 逐一解說一張累計已發布 CVE 的圖表：原本大致持平，接著開始上揚，然後直線飆升。他將近期的跳升歸因於大約六個月前啟動、如今才陸續公開的計畫，並警告由於揭露有時間差，這張圖其實低估了當前的實況。

零日時鐘如今已轉為負值

Mulackal 提出「零日時鐘」的概念，用來思考修補時間。過去，一家公司可能有數月甚至數年時間，在漏洞被利用前完成修補。如今這個時鐘是負的：在你還來不及修補之前，漏洞就已經可被利用。Lamtzidis 解釋其中機制——漏洞一經揭露，任何人都能派代理去掃描受影響的軟體並找到它，防禦方根本沒有搶先升級的視窗。

正因如此，Mulackal 說，握有客戶資料、商譽或資金的公司都在「借來的時間上過活」，六個月前就該行動，而現在最好的時機就是今天。他將不作為定調為對客戶的失職。

實際的意涵是：防禦必須以機器速度執行。Mulackal 對未來 12 到 18 個月的處方，是持續自我攻擊、修補所有發現的問題，並把攻擊你的成本從約 1 美元提高到 1 萬美元之類的水準，讓大多數攻擊者直接跳過你。他預測，資安會在約兩年內跟隨軟體工程的腳步，走向「資安工廠」模式——全天候的攻擊型測試加上主動修補。

flowchart TD
    A["軟體中存在漏洞"] --> B["AI 代理低成本找到漏洞"]
    B --> C["以趨近於零的成本發動利用"]
    C --> D["揭露或勒索"]
    D --> E["防禦方修補"]
    E --> F["攻擊者早已轉移目標"]
    B --> G["防禦方先自我攻擊"]
    G --> H["修補發現的問題，提高攻擊成本"]
    H --> I["攻擊者跳過目標"]

未來 12 到 18 個月，攻擊方仍占上風

Mulackal 直言，未來 12 到 18 個月攻擊方將佔據主導地位。Lamtzidis 同意，並說明為何即使防禦工具已經存在，還是得花這麼久：官僚體制。像 Phylax 這樣的新創可以立刻採用 Apex 這類工具，但大型組織的瓶頸在於人和流程。他用一個意象：一艘必須在遭受小型快艇攻擊時轉向的巨輪。

Lamtzidis 也重新詮釋了加密貨幣的歷史。這個產業在 2020 到 2021 年因每週發生上億美元駭客事件而被嘲笑，但整個軟體產業其實同樣不安全；加密貨幣只是誘因高、曝光度高。如今經濟結構對所有人都變了。Mulackal 的說法是：「歡迎來到 2020 年的加密貨幣戰爭」——每週一起重大事件，就是現實世界的新常態。

「你有一艘油輪、一艘巨輪，而你必須在被小型快艇攻擊的同時讓它轉向。」——Odysseas Lamtzidis

兩位來賓提出的正面訊息是有條件的。Lamtzidis 預期會先經歷一場「血洗」，然後攻防才回到較為均衡的狀態。Mulackal 預期軟體在約 18 個月後會實質上更安全，但警告持續存在的 AI 攻擊者意味著一個「一次失誤就致命」的世界——而這個世界從來不是為這種壓力而設計的。

加密貨幣的對抗式成長環境是實質但有限的優勢

Hoffman 的直覺反應是：這種環境對加密貨幣是利多，因為區塊鏈系統本來就誕生於對抗性環境。Mulackal 部分認同：在強烈攻擊壓力下成長的公司，如今在整個網際網路都面臨同樣條件時，具備營運上的優勢。他指出自家公司長期守護資金的經歷，並稱資金是僅次於政府對政府網攻的最熱門目標。

針對 Coinbase，Mulackal 表示其防禦誘因維持在高檔的時間遠比傳統銀行長，因此準備程度可能優於大型金融機構。他以北韓行為者利用 ATM 和 Target 禮品卡為例，說明傳統金融並非因為錢可以追回就免疫。他的結論是：Coinbase 上的資金今天並不比一個月前更不安全，但 Coinbase 必須持續投入。

Lamtzidis 對自我託管提出反面觀點。他建議未來 12 個月內，個人最好不要自我託管，或把資產分散到多家僱用專業資安團隊、且投保含責任條款網路保險的交易所。

網路保險可能是下一個崩解的環節

Lamtzidis 點出一個他覺得警訊意味濃厚的資料：2024 年，他形容為全球最大保險公司的 Lloyd's 曾表示 LLM 會帶來更多網路風險，然而網路保險保費自 2024 年起卻持續下滑。他預期未來幾個月會有許多保險公司撐不住，這將削弱保險作為託管風險後盾的功能。

更廣泛的重點是：二階與三階傷害難以量化。他舉 2021 年前後的 Ledger 資料庫外洩為例，該事件與「扳手攻擊」有關：攻擊者從外洩資料辨識出高資產人士，進而對他們發動實體攻擊。Mulackal 將傷害模型延伸到資料、商譽與資金，並指出大型銀行遭入侵的政治風險——摩根大通這種規模的外洩，其二階、三階效應足以改變一個國家的政治。

個人防禦：稽核你的服務商、假設已被入侵、縮小衝擊範圍

Mulackal 的首要建議是個人稽核。列出每一個握有你資料或資金的產品，逐一詢問它正在做什麼來保護你，如果答案自危機爆發以來毫無改變，就離開。他認為企業此刻不行動幾乎是不負責任的，並表示責任最終在於開發者，而非不懂技術的使用者。

Lamtzidis 的框架是備援與衝擊範圍：假設你用的每一項服務都會被滲透，並做好安排，讓必須發生多個獨立的失效，你才會損失金錢。他的例子是層層疊加自我託管防禦——Ledger 加上以 iPhone 保護的金鑰，再加上 Safe 交易路徑——這樣任何一層遭供應鏈攻擊都不足以致命。他坦承對不懂技術的使用者沒有好答案。

Mulackal 的務實建議是別再點可疑連結，因為大多數的許可權提升都需要使用者觸發。他也呼籲客戶公開向企業施壓。

Hoffman 在結尾呼籲託管業者主動公開說明自身的資安態勢，並點名 Coinbase 和 Infinex 作為他希望看到的透明範例。

尚未化解的張力，在於兩位來賓對轉型後軟體會更安全的樂觀，與 Mulackal 的警告之間：一個持續存在 AI 攻擊者的世界，與網際網路當初被設計來運作的世界有本質上的不同。值得追蹤的發展包括：未來兩季的 CVE 揭露速度、網路保險公司是否如 Lamtzidis 所預測開始倒閉，以及大型託管業者是否會發布具體的資安承諾，而不只是安撫性的說法。