【2026 企業資安大調查｜資安人才需求】因應資安人才缺口， 3成CIO想靠AI緩解

來源：https://www.ithome.com.tw/article/175311

資安人才向來是科技人力中的少數，在法遵要求上市櫃公司都得有一定規模不等的專責資安人力，不能再像過去靠資訊部門兼任之後，過去幾年，資安人才更成了超級搶手的人才，不分產業也都吹起了資安人才荒。

隨著生成式AI的崛起，尤其過去兩年，科技大廠推出的資安AI助手越來越成熟，LLM挖掘軟體系統漏洞的能力也越來越強，生成式AI開始成了提升資安人才戰力的利器。這也讓企業開始意識到，可以運用生成式AI來緩解資安人才不足的壓力。

在去年大調查中，我們開始調查資訊長和資安長對於AI緩解IT人才荒的看法，尤其是資安人才和開發人才缺口的緩解上。

去年已超過7成資訊長和資安長認同AI的確可以緩解IT人力需求，今年這個比例再次上升，達到77%之高，幾乎每五位資訊長，就有四位認為可以藉助AI來分擔人力。針對資安人才，今年也有3成的資訊長，認為可以用AI來緩解。AI成了緩解人才荒的解方之一，讓企業可以更有餘裕地調整原有的IT人力配置和人才招募策略，這個影響在今年調查結果格外明顯。

各產業在2025年都處於積極提高資安人力比重的態勢，但是到了今年出現大反轉，從提高比重，轉而降低資安人力的比重，這正是AI增強資安的技術逐漸成熟後，開始帶來的影響。

從資安人力占IT部門人力的比重數據，最能看出企業運用AI增強資安人才生產力後帶來的影響，不論是哪一個產業，今年資安人員占IT部門人數的比率都明顯下滑，整體產業從去年的11%，今年下滑到6%，幾乎少了快一半，其中，政府學校、服務業、高科技製造業、一般製造業的資安人力占比明顯只剩下去年的一半，連金融業的資安人力占比都比去年下滑了1個百分點。

根據2026年iThome CIO&CISO大調查，今年多數產業想要擴編資安人力的企業變少，整體產業只有30%企業要擴編，略低於去年的32%，各產業中，以服務業和金融業有較多的企業今年不再招募資安新血。金融業從去年的51%，下滑到今年只有45%要開缺，而服務業也從去年的4成企業開缺，今年只剩下33%有資安職缺需求。只有醫療業今年想要資安人才的醫院暴增，從去年的27%，增加到今年的40%。多了13%的醫院新開資安職缺。

招募的企業比重減少，但是有些產業想要招募的人數卻是提高了，像是高科技製造業有開缺的企業，資安職缺數平均比去年多了49%。政府學校也從去年的1.9人招募額，今年增加到2.7人，多了四成人數的員額。

今年調查也針對當紅的AI代理技術落地場景的盤點，整體產業中，將近三分之一的企業，今年要開始在資安流程作業中導入代理式AI技術，其中又以金融業、服務業、政府學校和百億營收的企業最積極。IT人力和預算明顯偏低的一般製造業，今年也開始有25%的企業想要用代理式AI來協助資安流程的優化，這些都是想要活用生成式AI來提高資安人才生產力的企業。

許多企業資訊長和資安長今年從IT、資安部門人力開始善用AI賦能，這是企業展現GenAI創新的切入點。如何找出新的資安團隊實踐模式，將成為資安長今年的重要課題。

'

Python存在高風險的記憶體存取漏洞，未修補可能導致越界寫入與記憶體資料損毀

來源：https://www.ithome.com.tw/news/175332

資安研究人員近日揭露，廣泛使用的高階程式語言Python存在高風險漏洞，可能導致越界寫入（Out-of-Bounds Write）問題，進而造成記憶體資料毀損，此漏洞已由Python軟體基金會登記為CVE-2026-3298，並於CPython程式碼庫提交修補程式，建議使用者儘速更新。

這項漏洞的CVSS嚴重性評分達8.8分，是在4月21日由研究人員Seth Larson揭露，他透過Python安全公告郵件清單（security announcement mailing list）公開此事。 細部而言，CVE-2026-3298存在於Python語言用於處理非同步I/O功能的函式庫asyncio，當使用者透過nbytes參數限制讀取資料大小時，系統卻未依參數設定執行，導致接收資料可能超出緩衝區範圍，並寫入記憶體邊界之外，而造成資料損毀。 就電腦與伺服器的作業系統而言，只有在Windows環境執行的asyncio模組會受此漏洞影響，Linux、macOS等基於Unix的平臺則是使用不同的事件迴圈後端（Event Loop Backend）架構，因此不受影響。

'

用AI發現漏洞還不夠，Google指出自動化大規模修補才是防禦核心

來源：https://www.ithome.com.tw/news/175328

將AI用於資安防禦以對抗AI攻擊，已成為各界關注焦點，特別是近期AI在漏洞挖掘能力上的高速推進，然而，AI大廠Google認為，解決資安漏洞風險的關鍵，不只在於大規模「找出」漏洞，更關鍵的是，如何運用AI大規模且高效率地「修補」漏洞。

這樣的論點近期一再被強調。例如，2024年舉行AIxCC準決賽的美國國防高等研究計劃署（DARPA），以及去年宣布正研發AI代理CodeMender的Google，都強調自動發現與自動修補漏洞的重要性，近日Google工程部門副總裁Royal Hansen來臺，揭露自動化防禦的最新發展。

提交多種修補方案，透過攻擊模擬選出最佳解後部署

加速找出潛在漏洞，是資安領域踏出的重要一步，這方面進展已日益顯著。以Google而言，去年透過Big Sleep計畫，利用AI模型發現超過70個漏洞，其中包括史上最早由AI發現的現實世界零時差漏洞。如今一年過去，隨著市面上各類AI模型的進步，大規模漏洞發現已經開始逐步實現。

但Royal Hansen指出，在啟動Big Sleep計畫後，團隊即意識到發現漏洞並非唯一難題，業界更需要的是「更快的修復方法」。為此，Google啟動CodeMender計畫。截至去年，該計畫已向開源項目提交72個漏洞修復方案，其中包括超過450萬行並非由人類編寫的程式碼。

他強調，當前資安防禦最艱鉅的工作，已經不再是資安團隊的漏洞偵測，而是所有受影響的團隊必須針對威脅做出相應調整並修補。這一過程其實非常複雜，但AI代理人可以考量人類無法處理的複雜相關因素，並快速擴大規模進行處理與修補。

Google的CodeMender又是怎麼做？Royal Hansen進一步解釋，CodeMender能針對同一漏洞提供多個修補方案，隨後以真實攻擊模擬進行測試。他比喻道：「這就像AI在玩西洋棋或圍棋一樣，會為每一步進行評分，修補也是如此，會為每一種可能的修補方案評分，最後選出分數最高、防禦效果最好的程式碼進行部署。」

他也提到，不要用單一AI代理處理所有工作，而是讓多個AI代理各司其職，這樣才會更有效率。即便只是漏洞修補這件事，但背後也有漏洞分析等不同工作在進行。

在此同時，Royal Hansen亦鼓勵業界大力測試此類技術，因為縮短零時差漏洞的修復時間才是真正目標。

讓AI滲透SSDLC每一道防線，往後多AI代理將成軟體開發日常

AI漏洞修補固然很重要，但更值得關注的是，若以軟體安全開發生命週期（SSDLC）來看，AI漏洞修補究竟應該如何定位？

對此，Royal Hansen認為，AI的角色不應只存在於單一階段，而是要貫穿整個流程。以開發階段為例，AI應在工程師撰寫程式當下即時進行檢查、測試並提出修補建議，確保帶有弱點的程式碼在部署前就被攔截。

更進一步來看，從開發、部署、測試到上市後追蹤，AI都能在每個環節提供關鍵協助。

談到這裡，他再次重申多代理架構的重要性，憑藉AI代理24小時不間斷運行的特性，他直言這類自動化能力未來將趨於極低成本，甚至成為近乎​「零成本」的基礎設施。因此他呼籲，企業應把握趨勢，積極將AI代理全面導入軟體生命週期的各個環節。

為了讓AI代理在資安領域的運作更具畫面感，Royal Hansen亦在訪談中引用電影《駭客任務》中的「史密斯探員」（Agent Smith）為例來說明。他指出，史密斯探員作為母體的守護者，能24小時不間斷防止虛擬世界遭到破壞；同樣地，企業也能打造專屬AI代理，全天候偵測漏洞與潛在風險。

突破資源枷鎖，以AI代理重塑防禦端的處理速度與規模

另外值得一提的是，除了AI自動化漏洞修復，Royal Hansen特別針對企業資安長提出建言，他指出，許多資安長常面臨待辦事項遠超人力、時間與預算的困境，導致他們只能優先處理高風險威脅。

如今憑藉更強大的LLM模型與AI代理，防禦的運作速度與規模已能突破以往限制，這不僅是為了對抗使用AI的攻擊者，更是為了解決資安領域數十年來的問題－－防禦人力資源匱乏與處理效率的瓶頸。上述漏洞發現與修補就是一例。

而且，即便是在減少繁瑣工作（Toil）方面，AI也能帶來極大幫助。他以Google威脅獵捕分析團隊為例，透過AI協助生成摘要、撰寫郵件及整合多方數據的任務，其效率提升了77％。這顯示出，僅僅是在提升生產力方面，AI也能為資安人員騰出更多空間，去處理更具挑戰性且更有意義的工作。

'