OpenSSF發布AI漏洞處理指引，強調漏洞驗證與人工審查

AI已能協助開發人員尋找軟體漏洞，攻擊者也開始利用AI發動攻擊，軟體開發團隊因此更需要及早修補漏洞，避免遭攻擊者利用。開源軟體安全基金會（OpenSSF）發布AI漏洞發現與修補指引，由旗下Best Practices及AI/ML工作小組共同制定，提供開發人員利用AI尋找及修補自家軟體漏洞的實務建議，也供協助開發團隊尋找漏洞的資安研究人員參考。

隨著AI加速漏洞發現，開發團隊可能收到更多漏洞通報，但仍須逐一確認問題是否成立，並依風險安排修補。OpenSSF因此提出涵蓋漏洞發現、驗證、風險排序、修補及部署更新的處理流程，協助開發團隊將AI發現的疑似漏洞轉化為實際修補成果，而非只增加待處理的漏洞通報。

在利用AI檢查程式碼時，OpenSSF特別提醒，尋找疑似漏洞與確認漏洞是否成立應分成兩個獨立步驟，因為AI代理若同時執行兩項工作，可能自行否定實際存在的漏洞。此外，由於AI每次檢查的結果可能不同，單次檢查可能遺漏其他漏洞，因此開發團隊應重複執行檢查，並搭配不同方法尋找漏洞，直到多次檢查都不再發現有價值的新問題。對於AI或外部研究人員通報的疑似漏洞，也須排除重複案例並完成驗證，再安排修補順序。

即使AI能協助產生修補程式碼，開發團隊仍不能直接採用其結果。OpenSSF指出，AI可能只修正表面問題，未解決漏洞的根本原因，甚至影響既有功能或引入新的安全問題，因此相關程式碼仍須經過自動化測試及人工程式碼審查，確認漏洞確實獲得修補後，才能合併至軟體專案。OpenSSF也建議讓AI在隔離執行環境中運作，高風險操作則須經人工核准，並設置必要時可中止AI運作的機制。修補完成後，開發團隊還應針對相關漏洞建立迴歸測試案例、靜態分析規則，或在持續整合與持續部署（CI/CD）流程中加入模糊測試，避免相同問題再次出現。