Linux核心安全團隊將一項自2016年起潛伏於作業系統程式碼中的漏洞評為 9.8分、嚴重程度達「極度危險」；漏洞利用時序差異，也就是程式執行速度與預期不一致的問題，攻擊者可能藉由誘導連線請求取得伺服器控制權。
報導指出，Anthropic尚未發布的Claude模型在測試環境中，不到一小時便無密碼接管Linux伺服器。風險最高者，是直接對外提供服務、接受外部連線的Linux伺服器；雲端、金融、通訊、政府與企業基礎設施因此成為修補與稽核重點。
這起事件並非首度由AI揭露高風險缺陷。報導稱，Anthropic的Mythos預覽模型曾找到涵蓋主要作業系統、瀏覽器及OpenBSD語言元件的大量弱點，其中一項漏洞已存在27年；OpenAI亦曾針對影響多數網站PHP程式的嚴重漏洞組成研究團隊。AI正把漏洞挖掘由人工個案調查，推向可大規模掃描、反覆驗證的自動化流程。
這項事件的核心衝突不是傳統的企業與政府利益對立，而是 資安攻防速度的結構性失衡：AI模型能以近乎全天候的方式讀取大量程式碼、生成攻擊假設並驗證利用方式，使漏洞從「是否有人會找到」轉變為「多久會被找到」。
Linux廣泛部署於雲端、網路服務、企業應用與嵌入式設備，形成龐大的維護表面；然而開源專案仰賴分散的貢獻者、志工維護者與商用支援商，修補速度未必能與AI掃描速度同步擴張。漏洞又自2016年起存在，顯示問題不在單一程式設計失誤，而在複雜程式碼長期缺乏完整測試、審查與資源投入。
技術上，這類時序弱點不同於可直接閱讀程式碼就能判定的錯誤。攻擊是否成功，取決於作業系統排程、網路延遲、硬體速度、編譯器最佳化及競爭條件，因此模型即使找到可疑程式路徑，仍須在接近真實環境的測試系統中反覆重現。能否可靠重現，將決定AI漏洞發現從研究展示轉為實際防線的關鍵。
攻守雙方同時取得工具，風險自然上升，但責任不能簡單歸咎於AI。防守方可用模型涵蓋數百萬行程式碼、追蹤跨檔案資料流並比對修補版本；惡意攻擊者也能把同一套能力用來尋找零日弱點、擴大既有漏洞的武器化。真正具決定性的，是漏洞資訊能否迅速進入可追蹤的修補流程，以及供應商是否願意公開歸因並協調部署。
在產業利益層面，AI資安工具商可能因需求暴增受惠，開源社群與大型雲端業者則可能承擔更高的稽核成本。若修補期限因伺服器規模與監管要求而延長，保險、採購及責任訴訟也會把技術風險轉化為財務風險。AI帶來的最迫切問題已不是模型能否破解，而是組織能否比攻擊者更快完成修補、驗證與部署。
這起事件可與過往大型零日漏洞、程式供應鏈攻擊及自動化漏洞挖掘的演進相比。過去，弱點多由資安研究員人工審閱或滲透測試發現；如今生成式AI能以大規模掃描縮短發現時間，漏洞管理將由週或月的節奏轉向近乎即時的機器競速。但模型能力、測試準確度與修補部署速度仍存在落差，因此短期內不會全面自動接管所有資安決策。
未來三年，AI資安的勝負關鍵將不只是模型精度，而是資料治理、系統可觀測性、供應鏈透明度及修補部署速度。能將模型發現即時轉化為可稽核、可回滾且可規模化部署的修補流程者，才真正掌握下一輪資安競爭。
01 起因觸發：AI模型在測試環境中揭露Linux核心及相關程式碼的時序弱點，Linux安全團隊評定為9.8分極度危險漏洞
02 一階傳導：直接對外提供服務的Linux伺服器須加速盤點、修補、壓力測試與回歸驗證，雲端、金融與政府基礎設施承受最高風險
03 二階擴散：開源維護、商用支援、資安保險、軟體採購與事件責任成本同步上升，供應鏈透明度要求因而提高
04 宏觀終局：漏洞挖掘、攻擊模擬與修補驗證全面走向AI自動化，資安優勢逐漸由模型能力轉向資料共享、部署速度與治理韌性
領域延伸情報推薦 相關延伸研讀
依主題領域自動關聯之高參考價值外電情報
