【網絡安全】應對AI黑客威脅 美國擬將政府漏洞修補期限縮至3日

為應對人工智能（AI）工具日益提升的黑客攻擊能力，美國網絡安全官員正積極審視聯邦政府修補已被利用軟件漏洞的策略。市場消息指，當局正研究大幅縮短相關漏洞的修補期限，或將由目前的約兩星期進一步壓縮至僅3日。 據悉，此舉主要針對美國網絡安全及基礎設施安全局（CISA）「已知被利用漏洞清單」（KEV）內的項目，即已被黑客或間諜實際利用的關鍵漏洞。CISA 會列出這些已被利用的軟件漏洞，並為聯邦文職機構設定修補期限。官員近期對 Anthropic 的 Mythos 及 OpenAI 的 GPT-5.4-Cyber 等新一代AI網絡安全模型深表關注。雖然黑客自2023年起已利用AI工具，但這些新模型據稱能更輕易識別未知漏洞，或迅速利用剛公開披露的漏洞，發動更複雜的網絡攻擊。過去黑客利用軟件漏洞可能需要數月、數週或數日，但在部分情況下，相關時間已被壓縮至短短數小時。 CISA 多年來維護 KEV 清單，並為民用聯邦機構設定修補期限。網絡安全研究員 Glenn Thorpe 指出，CISA 過往通常給予民用聯邦機構約3星期的修補時間，近期已縮短至約2星期。而目前討論的重點，是將所有列入清單的預設修補期限一律收緊至3日。網絡安全公司 Bitsight 創辦人 Stephen Boyer 強調，若要保護民用政府機構，防守方必須採取更迅速的行動，因「我們已沒有以前那麼長的窗口」。 分析人士指出，若 CISA 最終收緊修補期限，很可能會對各州政府、地方政府、企業及其他組織產生示範效應，促使他們加快處理網絡漏洞。業內人士關注，隨著更先進AI模型推出，商界及網絡安全業界正評估其影響，其中銀行業對此尤為緊張，監管機構亦正急於評估這些先進AI技術可能帶來的潛在風險。 然而，業界專家對於3日期限的可行性持有保留意見。前 CISA 副局長、現任網絡安全顧問公司 NN Global 負責人 Nitin Natarajan 認同在AI威脅快速演變下加快期限有其道理，但他指出，CISA 近年受裁員及政府停擺影響，資金及專才均有減少，能否承受更緊迫的執行壓力仍是疑問。威脅情報公司 Flashpoint 副總裁 Kecia Hoyt 亦補充，修補漏洞往往需要在正式部署前進行詳細測試，對部分IT環境而言，3日內完成「根本不切實際」。網絡安全公司 Huntress 高級首席安全研究員 John Hammond 則認為，將期限降至3日是相當大的改變，業界能否跟上仍有待觀察。 據瞭解，相關方案目前仍在討論階段，當局尚未作出最終決定，具體落實時間亦未有定案。參與討論的人士包括 CISA 署理主管 Nick Andersen 以及美國國家網絡總監 Sean Cairncross。