許多資安團隊在面對 AI 驅動的漏洞發現工具（例如 Anthropic 的 Mythos）時，最直覺的擔憂是數量問題。大家在討論的是：AI 會產生多少新的 CVE（通用漏洞披露，用於標記已知漏洞的標準編號）？安全分析師是否會被海量的漏洞報告淹沒？攻擊者將這些發現武器化的速度有多快？
這些問題雖然重要，但都忽略了一個決定企業是否會被攻破的核心指標：暴露窗口（Exposure Window）。
什麼是暴露窗口
簡單來說，暴露窗口是指從一個漏洞變得「可被利用」的那一刻起，到資安團隊正式「修復」該漏洞為止的這段時間差。這段時間就是攻擊者可以對企業造成實質損害的機會窗。
在目前的實務環境中，這個窗口開得太大了。根據數據，2025 年網路犯罪者的突破時間（Breakout Time，指攻擊者進入環境後橫向移動到目標系統的時間）已縮短至 29 分鐘。然而，即便像 PCI DSS 這樣嚴格的合規標準，仍允許企業在 30 天內修復關鍵漏洞。這意味著攻擊者的行動速度與企業的反應速度之間，存在著高達 1,000 倍的差距。
動員瓶頸：資安程序的軟肋
為什麼漏洞明明被發現了，卻無法快速修復？問題不在於發現，而是在於動員（Mobilization）。
在 Gartner 提出的 CTEM（持續威脅暴露管理，一種旨在將資安從單純的漏洞修補轉向管理整體暴露風險的框架）五個階段中：範圍界定、發現、優先級排序、驗證與動員。前三個階段在 AI 的幫助下已經達到機器速度，甚至驗證階段也透過自動化攻擊路徑測試得到了提升。
但最後一步「動員」依然停留在組織速度。
這是一個典型的工程管理問題：資安團隊發現了漏洞（知道要修什麼），但實際執行修復的通常是另一個團隊（例如運維或開發團隊）。這兩個團隊之間存在著不同的優先級、不同的變更窗口（Change Window）以及繁瑣的審核流程。
在企業環境中，許多關鍵系統（如舊版 legacy 系統或 OT 工業控制系統）不能隨意停機，導致修復工作被無限期推遲。此外，像權限過大或憑證快取這類的身分識別暴露，根本沒有所謂的「補丁」可以安裝，往往在責任歸屬不明的情況下被擱置。
主動防禦與被動反應的邊界消失
傳統上，資安運作分為兩種模式：
SOC（安全運作中心）屬於被動反應，關注的是停留時間（Dwell Time）與平均回應時間（MTTR），目標是限制已經進入內網的威脅。 VM（漏洞管理）或雲端安全團隊屬於主動防禦，關注的是補丁覆蓋率或修復時間，目標是在攻擊者到達前消除風險。
然而，AI 驅動的漏洞發現讓這兩者被放在同一個秒錶上計時。當漏洞從披露到被武器化只需要幾小時，而突破時間僅需數十分鐘時，即便你每季的補丁覆蓋率達到 90%，只要關鍵資產在隊列中等待修復了數週，這 90% 的數據就毫無意義。
主動防禦團隊現在必須採取與 SOC 相同的速度指標，因為沒有任何傳統的修復流程能跑贏 29 分鐘的突破速度。
縮小爆炸半徑：從清單轉向路徑
既然無法完全關閉所有的暴露窗口，工程實務上的解法就必須從「修復所有漏洞」轉向「縮小爆炸半徑（Blast Radius）」。
爆炸半徑是指攻擊者一旦利用某個漏洞進入後，能夠接觸到的資產範圍。並非所有漏洞都同樣危險，有些漏洞雖然嚴重，但它處在一個死胡同裡，無法通往核心數據。
透過攻擊路徑分析（Attack Path Analysis），團隊可以識別出哪些暴露路徑直接連接到關鍵資產。這樣能將動員的範圍從一個「永遠做不完的漏洞清單」，縮小為「一組必須立即切斷的路徑」。
當企業開始追蹤「關鍵資產在可被觸及狀態下停留了多久」，修復速度才真正變成一個業務風險指標，而非單純的合規數據。
總結
AI 工具並沒有摧毀資安程序，它只是揭露了組織內部動員速度的低下。如果企業依然依賴人力審核與緩慢的行政流程來對抗機器速度的攻擊，那麼暴露窗口將永遠成為最致命的弱點。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。