Linux基金會調查揭軟體交付速度超過資安審查能力，近6成團隊跟不上

Linux基金會（The Linux Foundation）近期公布AI對軟體與網路安全影響的調查，58%受訪者指出，所屬團隊的軟體交付速度已快到安全審查難以跟上。研究於2026年6月至7月進行，共有308名從事資安相關工作的IT專業人員、軟體開發人員及開源軟體貢獻者參與。

在軟體供應鏈方面，60%受訪者表示，所屬組織或開源專案使用AI程式開發工具後，外部相依套件增加，只有16%表示減少。然而，受訪團隊只有約53%的情況會檢查間接相依套件（transitive dependencies），可能使部分套件的安全問題未能及時被發現。

軟體元件的更新與維護，也是受訪組織及開源專案面臨的另一項挑戰。開源軟體安全基金會（OpenSSF）在分析文章中指出，83%受訪者擔心大量軟體元件更新會增加維護負擔，但只有44%認為所屬組織或專案已做好因應準備，43%表示已受到相關問題影響。至於漏洞修補，28%受訪者因擔心影響系統穩定性而降低修補優先順序，另有22%則是因為時間不足。

AI工具讓資安相關程式開發工作的速度平均提高17%，但AI輔助資安工具產生的漏洞誤報，也使受訪者的工作量平均增加30%。此外，82%受訪者認為，開發人員過度依賴AI工具，可能使自身的資安技能退步。

（圖片來源／Linux基金會）

在AI資安威脅方面，自評具備較高AI資安專業能力的受訪者，最擔心軟體供應鏈攻擊與提示詞注入（Prompt Injection），分別有93%及90%表示擔憂。其次是大量軟體元件更新可能增加維護負擔，占87%；程式碼含有惡意內容或漏洞，以及自動產生漏洞利用程式或進行模糊測試，則同為86%。

（圖片來源／Linux基金會）

在AI資安人力配置方面，只有30%受訪團隊設有專責人員或團隊。調查也發現，未設置AI資安專責人力的組織及開源專案，只有23%表示會立即調查大部分新出現的資安警示，並修復相關安全問題；設有專責人力者，比例則達43%。對企業而言，導入AI工具時除了評估開發效率，也需要確認是否有足夠的資安人力，能夠及時調查警示並修復相關問題。

研究單位建議企業及開源專案明確指定AI資安負責人員，減少不必要的外部相依套件，並從經過審查、符合組織安全政策的套件儲存庫取得第三方套件，同時持續檢查漏洞及進行安全修補。