CSA建議企業推動資安職能轉型，從漏洞管理導入AI代理

雲端安全聯盟（CSA）提出資安組織調整建議，認為AI代理逐漸能夠協助漏洞分析、程式碼檢查等工作，可能改變企業資安團隊的人力需求與職能分工。未來小型資安團隊搭配多個AI代理，可能完成過去需要較大團隊才能處理的任務。因此，企業應先調整資安工作流程與人員分工，再依實際成效決定是否改變團隊規模。

面對攻擊者運用AI加快漏洞利用與攻擊速度，CSA將漏洞管理列為優先導入AI代理的領域，並提出VulnOps模式，整合原本可能由不同團隊負責的漏洞管理、曝險管理、修補管理、應用程式安全評估及部分紅隊基礎設施測試，將漏洞發現、驗證與修補整合成持續運作的流程。

在VulnOps模式下，AI代理可協助發現漏洞、驗證漏洞是否可被利用，以及處理部分修補相關工作，資安人員則負責評估是否需要採取補償性控制措施，以及決定漏洞修補順序。若修補作業可能影響正式環境運作，仍須經過人工審核。CSA也提醒，企業需要透過多階段驗證降低漏洞誤判，並建立軟體供應鏈治理機制，避免AI自動化產生大量拉取請求，增加開發人員的審查負擔。

SOC等資安職能以AI輔助為主，治理與法遵工作可提高自動化程度

除了漏洞管理，CSA也針對其他資安職能提出不同的AI導入方向。對於安全維運中心（SOC）、威脅偵測、事件應變及韌性管理，CSA認為企業可保留現有團隊架構，讓AI協助人員執行工作，資安人員則將更多心力放在威脅分析與重要決策；治理、風險管理與法規遵循、第三方風險管理及資安意識訓練，則有較多工作可以交由AI自動處理，但重要的風險決策仍須由人員負責。至於營運技術（OT）及工業控制系統（ICS）資安，導入AI後的工作分工可能需要較長時間才能調整，也不一定適合沿用一般企業IT資安團隊的做法。

限制AI代理操作權限，高風險操作仍須人工核准

隨著AI代理承擔更多資安任務，企業也需要重新檢視代理的身分與存取權限管理。CSA建議將AI代理納入非人類身分（Non-Human Identity，NHI）管理，清楚掌握每個AI代理由誰負責、能執行哪些工作，以及可以存取哪些系統和資料。企業也應建立獨立於AI代理之外的權限檢查機制，依照事先設定的權限規則，檢查AI代理每次呼叫工具的行為，避免讓代理自行決定是否有權執行操作。一般工作可在授權範圍內自動執行，但提高AI代理權限，或執行可能中斷服務的操作時，仍須經過人工核准。

即使保留人工審核，也不代表就能避免AI誤判。CSA提醒，若資安人員未仔細查證就接受AI代理的分析結果，人工審核可能流於形式，因此需要根據相關證據進行獨立複核，而不是單純確認AI提出的結論。對於準備導入AI代理的企業，CSA建議先從範圍明確的漏洞管理或應用程式安全工作試行，檢查AI代理產出的結果是否可靠、漏洞修補時間是否縮短，以及是否確實降低企業面臨的安全風險，再逐步擴大使用。

AI自動化也可能影響資安人才培養。若大量初階工作改由AI代理處理，新人可能失去累積實務經驗的機會，影響未來資深資安人才的培養。CSA因此建議企業透過工作輪調及導師制度，讓新人仍有機會參與實務工作，同時避免在轉型期間過早裁減人力，以免增加現有員工的工作負擔與職業倦怠風險。