AI 代理解決軟體安全瓶頸 Black Duck、Endor Labs 自動修復漏洞

面對日益增長的軟體安全漏洞與修復速度落差，兩家資安公司 Black Duck Software 與 Endor Labs 近期紛紛推出採用人工智慧（AI）技術的代理（agent）工具，旨在自動化漏洞管理流程，從根本上提升資安防護效率。此舉有望緩解資安團隊長期以來面臨的漏洞修復瓶頸，尤其是在開源軟體日益普及的當下。

根據資安分析公司 The Futurum Group 的副總裁 Mitch Ashley 指出，AI 驅動的漏洞發現速度已超越傳統的掃描、發現、修復週期。這使得過去應用程式安全的瓶頸已從「發現漏洞」轉移到「修復漏洞」上，而且 AI 也加速了網路犯罪分子反向工程漏洞並建立攻擊模式的速度。為此，AI 自動化解決方案成為應對此挑戰的關鍵。

Black Duck Software 推出了名為 Signal Agentic Fix 的 AI 代理。這款工具專為分類與修復軟體漏洞而設計，可透過配置規則來規範代理的修復權限與方式，確保符合既定的程式碼標準與資安規範。Black Duck Software 表示，AI 代理產生的任何修復內容都會再次掃描，以確認不會引入新的缺陷或漏洞。公司預計未來將引入更多 AI 代理，涵蓋威脅分析、滲透測試及其他軟體供應鏈安全面向。

另一方面，Endor Labs 也推出其 AI 代理 AURI。此代理能檢查漏洞的可利用性、嚴重程度及部署情境，並為無實際風險的發現提供文件證明。當升級不會破壞應用程式時，AURI 會識別出套件的最低安全版本並建立 Pull Request（提交修改請求）。針對應用程式配置或程式碼層面的漏洞，DevSecOps 團隊（整合開發、資安與維運的實務作法）可透過命令列介面（CLI）觸發 AURI 進行修復，並在程式碼庫中建立 Pull Request 供審查。Endor Labs 的研究人員迄今已評估了 264,643 個企業程式碼庫中可達成的漏洞，發現其中僅不到一成的問題可透過升級或修補依賴項來解決，而高達 82% 的問題可透過應用程式中的微小變更來緩解。

Mitch Ashley 評論，Endor Labs 正將資安修復工作轉移到應用程式程式碼層面。他亦強調，AI 驅動的自動化修復能否成功，最終考驗在於資安團隊是否願意信任代理來處理這些修復工作，以及每個修復背後所附帶的 VEX 報告（漏洞可利用性交換報告）是否經得起審計，提供足夠的證據以確信該漏洞已不再可被利用。