CISA AI 漏洞優先處理：發現更多漏洞不等於更需要緊急修復

CISA 警告，AI 可以發現更多軟件弱點，但這並不代表每項發現都應列為緊急修補優先事項。CISA 的 AI 漏洞優先處理現正面對一個實際問題：哪些發現值得投入稀缺的工程資源？

據 MeriTalk 報道，CISA 漏洞管理代理副總監 Jay Gazlay 於 10 月 28 日在華盛頓特區談及這種矛盾。他的言論挑戰了一項常見的安全假設：已發現漏洞清單愈長，就必然需要相應增加即時修復工作。

兩種做法的分別十分清楚。以發現為本的修復方式，將不斷擴大的待處理清單視為工作計劃。以風險為本的修復方式，則會問哪些弱點會令實際系統暴露於足以造成重大後果的攻擊。CISA 現有的決策框架已支持這種區分。AI 令其營運層面的後果更難忽視。

CISA AI 漏洞優先處理始於證據

Gazlay 在 Red Hat 的 Government Summit 發言時，敦促各機構決定哪些問題需要處理時，考慮已有證據顯示的遭利用情況、互聯網暴露程度及資產可見性。MeriTalk 對 AI 漏洞發現 的報道亦提及 Gold Eagle，這是一個由 AI 支援、旨在協助整理漏洞提交資料的平台。

Gazlay 的說法異常直接：「大部分漏洞都可以安全地忽略。」這句話需要語境。一項據報在會議上發表的言論，本身並不構成豁免遵守適用修復責任的依據。

關鍵分別在於發現一項弱點，與證明它值得即時採取營運行動。

漏洞是攻擊者可能利用的軟件或硬件弱點。其存在證明有技術問題，但不會自動證明受影響的組織、可連接的系統、可用的攻擊路徑，或可能造成的業務後果。

這些缺失的細節十分重要，因為修復工作消耗的資源不止於分析人員檢視警報。開發人員必須調查受影響的程式碼。系統擁有人必須評估服務相依關係。營運團隊必須安排變更，並驗證系統其後仍能正常運作。

因此，一項發現會先帶來決策，然後才形成修補工作。有人必須確認該報告是否適用於已部署的技術。有人必須判斷現有控制措施是否改變了暴露情況。有人必須為最終行動承擔責任。

這不會降低發現工作的價值。更好的發現能力可以揭露早前審查遺漏的弱點。問題始於組織誤將發現結果當作完整的工作排序。

試想一個示例比較。一個可由外部連接的應用程式與一個隔離的測試環境，可能包含相同的易受攻擊元件。共享同一元件，並不代表兩者的營運情況相同。

該應用程式可能為攻擊者提供直接取得敏感資訊的途徑。測試環境可能沒有重要資料，也無法連接生產系統。調查這些差異是安全工作的一部分，而不是逃避工作的藉口。

反過來的情況亦有可能。一個被標記為內部的系統，可能擁有特權連線，使被入侵的後果尤其嚴重。標籤不能解決問題；真正重要的是有關實際存取權限及相依關係的證據。

因此，這則新聞涉及安全組織在發現數量增加時，如何為決策提供理據。相關產出應是對緊急程度的說明，而不只是待處理清單上的另一條項目。

這項說明必須經得起審查。被延後處理的發現，應有另一名分析人員可檢視的理由。緊急發現則應具備足夠背景資料，以證明值得中斷原定工作。

AI 生成的報告提高了風險，因為流暢易讀的文字可能營造出內容完整的印象。再詳盡的說明，仍需要可重現的證據、受影響的環境，以及可辯護的後果評估。

各機構及開發人員承擔決策成本

更多發現會把壓力轉移至必須驗證、分派及解決問題的人員身上。

安全團隊處於接收端，但很少能控制修復所需的每一項相依關係。他們需要應用程式擁有人、基礎設施管理員、採購團隊及軟件供應商合作。

這造成發現速度與組織回應能力之間的不匹配。產生另一份報告，可能比找出正確負責人容易。找出負責人，又可能比安排一次安全的生產環境變更容易。

因此，瓶頸未必是補丁是否可用，而可能是不確定某個元件是否存在、哪項服務正在使用它，或誰控制其部署。

對開發人員而言，資格不足的發現會帶來調查成本。一份報告可能識別出受影響的套件，卻未能證實相關功能是否被使用。另一份報告可能遺漏重現問題所需的設定。

這些分別值得調查，但不應變成安全的假設。聲稱功能未被使用，需要有支持證據。聲稱某個元件無法連接，則需要說明是甚麼阻止了存取。

對機構領導層而言，壓力來自管理層面。他們必須決定團隊應因關閉工單而獲得肯定，還是因減少實質暴露而獲得肯定。這兩種衡量方式可能指向不同方向。

一支團隊可以關閉大量簡單的發現，卻讓一項棘手而後果重大的暴露問題懸而未決。另一支團隊即使軟件更新尚未推出，也可透過移除一項暴露服務而取得實質進展。

單靠工單數量，無法理解任何一種活動。領導者需要了解環境中有甚麼改變，以及該改變為何重要。

軟件供應商亦面對相關負擔。買方需要能把公告與已部署產品連結起來的資訊。元件名稱、受影響版本、設定要求及修復指引，有助組織建立這種連結。

軟件物料清單，即產品所包含元件的清單，可以支援這類調查。但它不能獨立證明攻擊者能否到達易受攻擊的功能。

資產清單的質素亦會改變每項後續決策的成本。當團隊已了解其系統及擁有人，便可集中處理已報告的弱點。當他們缺乏這些知識，每次警報都會觸發另一輪探索工作。

這正是為何 CISA 的 AI 漏洞優先處理不僅屬於安全營運討論，也應納入採購討論。若某產品能產生發現卻未能提供可用證據，便可能把大量工作轉嫁給其客戶。

買方應區分報告生成與決策支援。後者需要連結至資產、擁有權、控制措施及後果。一份吸引人的摘要無法取代這些連結。

對工程組織而言，維護一個可搜尋的知識庫，有助保存架構決策及營運背景資料。這有助調查，但技術證據仍必須證明暴露情況。

根本的取捨在於注意力。每項調查都會與其他調查、計劃中的維護工作及安全改善措施競爭。組織需要一套可辯護的方法分配這種注意力，以免待處理清單成為其預設策略。

嚴重性評分無法決定修復隊列

技術嚴重性、遭利用的可能性及組織影響，回答的是不同問題。

通用漏洞評分系統（Common Vulnerability Scoring System，CVSS）描述漏洞特性及嚴重程度。FIRST 的 CVSS 規格區分基本、威脅、環境及補充指標。

這個結構十分重要，因為基本評分是在標準化假設下描述固有特性。威脅及環境資訊則可利用不斷變化的攻擊條件及本地情況，進一步完善評估。

將每個已發布評分視為完整的營運指令，會忽略這些區分，亦可能掩蓋產生該數字的假設。

不應把 CVSS 描述為無法呈現背景因素。較狹義的問題在於組織如何使用它。只圍繞基本評分建立的隊列，使用的資訊少於該框架所支援的範圍。

漏洞利用預測評分系統（Exploit Prediction Scoring System，EPSS）估計未來 30 日內觀察到漏洞遭利用的機率。FIRST 的漏洞利用機率指引明確指出，EPSS 並非完整的風險評分。

它不能判定受影響軟件是否存在於某個特定組織，亦不能確立攻擊成功會在該組織造成甚麼損害。

這些方法互為補充，雖然安全儀表板可能將它們呈現為互相競爭的答案。CVSS 傳達嚴重性特徵。EPSS 提供有關漏洞利用活動的預測。當地證據則將任何一項評估連結至實際環境。

常見錯誤是尋求一個可以解決所有分歧的通用數字。結合不同訊號可以支援分析，但所得數字仍取決於對暴露程度及後果的假設。

例如，漏洞利用預測無法告訴某個機構，一台易受攻擊的伺服器支援的是公開資訊頁面，還是關鍵營運服務。這個分別來自該機構本身。

同樣，嚴重技術影響的證據，並不能證明攻擊者能夠到達受影響的部署。這需要調查系統及其周邊控制措施。

CISA 的持份者特定漏洞分類（Stakeholder-Specific Vulnerability Categorization，SSVC）使用決策樹，為特定持份者排列回應優先次序。其漏洞回應指南包含由追蹤漏洞至緊急行動等不同結果。

追蹤包括在有新資訊出現時重新評估。因此，延後處理是一項持續決策，而非責任的消失。

這些方法各有不同用途。CVSS 傳達技術特性。EPSS 估計遭利用的機率。SSVC 則協助將相關證據轉化為回應決策。

它們並存，為 AI 討論提供一個重要參考點。漏洞管理本來已區分描述漏洞與選擇組織回應。AI 不會消除這種區分。

當團隊保留這些區分時，CISA 的 AI 漏洞優先處理會更具可信性。當 AI 系統將它們壓縮成一個未經解釋的緊急標籤時，其可信性便會降低。

對買方而言，實際問題是產品會否公開其推理過程。分析人員需要能檢視哪些資產資料、威脅證據及環境假設促成某項建議。

分歧才能變得有用。分析員可以質疑錯誤的暴露假設，或補充遺漏的任務背景。若欠缺這種可見性，組織只會收到另一個必須自行重新建構的結論。

延後修復會形成持續責任

只有在支撐假設仍然有效時，等待的決定才站得住腳。

對選擇性修復最有力的批評很直接：攻擊者可以利用防禦者選擇不處理的弱點。優先排序不會消除這種可能性。

它亦不能保證現有證據完整無缺。未觀察到攻擊，可能反映可見性有限。看似受保護的系統，可能存在未記錄的存取途徑。控制措施亦可能失效或改變。

這些不確定性令過度自信地否定風險變得危險，但並不代表同等緊急程度可行。回應必須保留不確定性，同時區分較強與較弱的證據。

CISA 的醫療保健業界緩解指引區分修復、緩解及接受。修復會修正弱點；緩解會降低其發生可能性或影響；接受則讓已識別風險維持未處理狀態。

這個區分可避免臨時控制措施悄然變成已永久解決問題的說法。封鎖對受影響服務的存取可以降低暴露程度，卻不會移除根本缺陷。

組織需要準確描述這類行動。受臨時限制保護的系統，仍依賴該項限制。修改限制，可能改變原來的決定。

內部暴露同樣值得審視。限制系統之間通訊的網絡分段，能限制攻擊者橫向移動。其成效取決於實際存在的邊界。

若管理員存取可自由跨越不同網絡，顯示網絡分隔的圖表便不是充分證據。真正相關的問題是，攻擊者取得立足點後能做甚麼。

身分控制亦會產生類似依賴關係。一項服務或許能抵禦直接存取，但仍可透過權限過高的帳戶進入。只評估服務而不評估該帳戶，便令部分攻擊路徑未被探索。

修補亦涉及取捨。更新關鍵任務系統可能引入營運風險。這種風險值得評估，特別是在服務中斷後果嚴重時。

然而，營運困難不能作為普遍延後的理由。組織必須比較更改系統的後果，以及讓其保持暴露狀態的後果。

懷疑式檢驗是，這套推理能否雙向成立。若證據足以支持延後，哪些證據會推翻這個決定？若組織無法回答，其決定便難以審核。

新近暴露的服務、已變更的權限，或可信的遭利用證據，都可以令較早前的評估失效。因此，延後處理應保留負責人及重新考慮的條件。

同一原則亦適用於 AI 建議。模型生成的解釋是一項建議，而非負責承擔風險的擁有人。人員仍需要批准具重大後果的決定，並理解其依據。

危險在於，以精確之名掩飾組織便利。一個未經解釋的低優先級標籤，可以令待辦清單看似可管理，同時保留原有暴露風險。

CISA 的論點值得接受這項壓力測試。選擇性修復若能把工作重新導向具重大後果的風險，便會成功；若它成為擱置艱難工作的一套詞彙，便會失敗。

AI 輔助分流必須證明它漏掉了甚麼

自動化應按決策質素評估，包括它錯誤降低優先級的危險發現。

分流是根據收到的發現所需關注程度進行排序。AI 可以協助這項工作，但提供協助與可靠授權是不同的主張。

AI 系統或可準確概述一份提交內容，卻錯誤識別受影響產品。它可能辨識出嚴重弱點，但將其連結至過時的資產紀錄。

這些錯誤帶來不同後果。不相關的緊急警報會消耗調查時間。被標示為不重要的重大缺陷，可能在最不應延誤之處拖慢行動。

這種不對稱性使產品評估更複雜。能減少佇列規模的系統，所證明的成果較能保留重大暴露偵測能力的系統狹窄。

這個區分亦影響關於分析員生產力的說法。更快的摘要可以提供幫助，但團隊仍需驗證摘要是否支持穩妥決策。

有用的評估會分開不同階段。系統是否理解報告？是否識別正確資產？是否描述攻擊條件？其建議回應是否符合這些條件？

把這些問題壓縮成整體準確率數字，可能掩蓋有意義的失敗。組織需要知道在哪些環節仍必須進行人工審查。

AI 輔助分流亦依賴證據來源可追溯性，即支撐決定的資訊可追溯來源。分析員應能找到結論背後的公告、報告、資產紀錄或測試結果。

這種可追溯性有助區分重複說法與獨立建立的證據。多份生成摘要可能重複同一個未受支持的前提，卻不會令它更有力。

安全提交內容需要另一道界線。報告屬不受信任的輸入，即使其中包含技術上有用的資訊。其文字不應獲得處理該內容的系統之權威。

因此，審閱提交內容的 AI 服務需要的控制，不僅是要求它謹慎行事。周邊工作流程應限制存取、保存證據，並限制具重大後果的行動。

這些是架構要求，而非針對任何特定已部署平台的說法。對 AI 前端的公開描述，不能證明這些界線如何運作。

買家亦應檢視系統如何處理分歧。分析員的覆寫可以揭示遺漏背景、錯誤假設或非常規部署。平台應保留相關解釋。

否則，自動化可能抹去令後續決策更好的學習。組織持續處理發現，卻未能改善對重複錯誤的理解。

這正是由發現驅動與以風險為本修復之間競爭變得具體的地方。發現產品可以強調其偵測量；優先排序產品則必須解釋為何其排序值得信任。

比較不在於發現或優先排序哪一項單獨具有更大價值。兩者互相依賴。差劣的發現會漏掉弱點；差劣的優先排序會錯配回應資源。

對 CISA AI 漏洞優先排序而言，核心效能問題是協助是否改善人員必須辯護的決策。只有在餘下工作流程保留重大證據時，減少人工工作才有用。

留意證據質素、暴露可見性及審查結果

下一項測試是組織能否展示更佳決策，而不只是更大的發現總數。

未來數月，有三個訊號值得留意。這些是評估優先事項，不是已公布的發布期限或承諾的機構里程碑。

第一個訊號是關於分流質素的證據。公開評估應說明 AI 輔助系統如何區分可採取行動的發現，以及需要較少即時關注的提交內容。

最有用的結果會包括棘手個案及錯誤背後的推理。只報告成功分類，會令最具後果的不確定性仍未解決。

若有證據顯示危險發現在不必要調查減少時仍保持可見，將會強化 AI 輔助優先排序的論據。若出現被隱藏的重大錯誤證據，則會削弱它。

處理能力的說法回答的是另一個問題。系統可以接收大量工作，卻未必能可靠決定哪些項目值得採取行動。吞吐量與判斷力需要分開評估。

第二個訊號是發現與已部署資產之間更好的連結。機構與供應商應能展示元件資訊如何對應至實際服務、暴露程度及擁有權。

這不要求公開敏感網絡細節，而是要求證明內部決策採用關於受影響環境的最新資訊。

改良資產配對會強化以風險為本的方法，因為它處理了發現工具無法單獨提供的背景。若受影響系統持續存在不確定性，將削弱對自動化排序的信心。

尤其要留意組織如何處理變更。當部署、存取或擁有權變更而未更新紀錄時，資產清單的用途便會降低。

第三個訊號是延後決定的結果。組織應檢視延後處理是否仍有理據、是否需要升級處理，或是否揭示原有評估的缺口。

改變決定不一定代表失敗。新證據可以合理地改變緊急程度。更能反映問題的是，組織是否注意到並作出回應。

涉及聲稱受保護系統的反覆意外，將挑戰其假設質素。有文件記錄的重新評估，則顯示優先排序仍與營運現實相連。

這些訊號令辯論聚焦於結果。它們問的是，發現是否帶來更佳的資源分配、背景是否改善決策，以及延後工作是否仍受控制。

它們亦為安全買家提供有用測試。請潛在供應商解釋一項具重大後果的建議，如何由來源證據走到最終行動，然後檢視會令其改變的假設。

從你的組織已作出的決定開始。選擇一項緊急發現及一項延後發現，然後比較其支撐證據。負責團隊能否在不完全依賴儀表板標籤下解釋兩者差異？檢查評估是否識別受影響資產、合理存取途徑、業務後果及重新評估條件。保留推理過程，讓另一名分析員在情況改變時可以質疑它。CISA AI 漏洞優先排序值得關注，因為單靠發現無法回答這些問題。實際回應是要求能令修復佇列站得住腳的證據。在把發現量再度增加視為進展之前，先問組織下一步會處理哪一項重大暴露風險，以及原因。