紅帽：「AI 時代也應堅守『負責任的漏洞揭露』原則」

根據 IT Daily 報導，Red Hat 3日表示，在生成式 AI 與自動化工具擴散之下，潛在資安缺陷的偵測速度正急速攀升。Red Hat 認為，這股偵測速度已形成遠遠超出開發與資安團隊分析、解決能力的趨勢。

Red Hat 特別分析，自 2026年 4月發表 Mythos Preview 之後，這種情況進一步加速。Red Hat 也將這一階段定義為「Vulnpocalypse」。

Red Hat 分析，AI 工具正在降低攻擊者的進入門檻，同時加重資安人員的驗證負擔。它並指出，機器的搜尋速度無法取代人與人之間的信任。

Red Hat 主張，即使在 AI 基礎漏洞搜尋暴增的情況下，仍有必要維持資安 embargo。另方面，Red Hat 強調必須徹底遵守「Coordinated Vulnerability Disclosure（CVD）」原則。它還指出，若破壞 embargo 或外洩資訊，會產生應對成本，而承擔這些成本與疲勞壓力的，是第一線實務人員。

Red Hat 指出，漏洞搜尋是資安流程的第一步，但更重要的是其後的應對過程。它特別將專家驗證與實際影響評估、製作經過驗證的修補程式，以及制定部署指引，列為核心重點。

Red Hat 認為，這類應對是在開源生態系的資安基礎上展開。這個基礎是由研究者、專案 Maintainer、協調者與營運組織合作形成，且其必要程序要求以協調式揭露來盡量減少不必要的混亂。

Red Hat 也強調，在漏洞揭露前先準備應對措施的資安 embargo 重要性。它解釋，資安 embargo 不只是單純隱匿資訊，而是為防禦者提供 Tactical Head Start 的機制。

相反地，Red Hat 認為，一旦約定時程被打破，風險可能升高。它指出，若 exploit code 及早公開，或因程式碼變更而使缺陷外露，準備期就會消失，進而可能導致整個生態系的信任崩潰。

一旦 embargo 失守，受害的一線人員就會被迫承擔損失。即便在 2021年 Log4Shell 事件中，官方修補程式發布之前就已開始遭到利用，工程師也因此被投入緊急修補與系統變更作業。

小型開源 upstream 專案往往由少數人力營運。這些人正承受重複或實效不足的 AI 生成漏洞通報所帶來的負擔，並因此面臨 burnout。近期 curl 專案調整低嚴重度漏洞通報的處理方式，也顯示出這種驗證能力的極限。

針對這些問題，Red Hat 以依漏洞風險等級彈性協調作為替代方案。它主張，低嚴重度缺陷應在社群內公開討論，以分散負擔；而實際遭到利用可能性較高的高風險漏洞，則應嚴格限制資訊共享範圍，直到修補程式準備完成。

企業的角色，是為 upstream 專案提供不造成負擔的實質支援。為此，不應只要求快速修補，還應遵守正式溝通管道、直接投入工程人力，並主動提供審查能力。

就這種作法而言，Red Hat 表示，已透過自家產品資安團隊受理安全通報，並進行 embargo 協調。它也參與開源漏洞應對合作專案 Akrites，並持續在尊重社群自主性的前提下提供技術支援。

Red Hat Portfolio Security Architect Emily Fox 表示，即使 AI 的漏洞偵測速度持續加快，也無法用機器的速度取代人與人之間的信任。她說，資安領導的核心不在於搶先揭露的速度競賽，而在於為了整個生態系的安全發展，維持共識與信任。

來源: IT DAILY · Kwon Yeong-seok 原文: https://www.itdaily.kr/news/articleView.html?idxno=242657

參考資料

• https://www.itdaily.kr/news/articleView.html?idxno=242657