過去的方式仍然有效，但是當攻擊者的操作速度變快了，防禦者卻無法跟上，這點才是最近事件發生的根因。

過去的機密性很多是建立於時間之上的。如果給予在一秒內無限次嘗試的機會，所有人都可以破解任何密碼、反向工程任何軟體，但是每次嘗試都是需要成本的，所以我們用這個特性做出了挖礦，寫了不少教材告訴使用者「如果你的密碼只有 8 位數字，會在幾分鐘內被破解，如果加上符號，就會到幾百年」等等的事情。在憑證上面，我們也透過縮短憑證有效日期到一年內，來降低攻擊者排除完所有可能性的可能。

但是 AI 改變了工程師的效率，懂得使用語言模型的工程師正在無情消滅過去那群堅持程式碼嚴謹的工程師們所建立的一切。

Moving fast，唯快不破幾乎是這個世界的真理，但是大多數的防禦方並沒有掌握這件事情是關鍵。同樣的攻擊手法，如果沒有攻擊經驗的小白可以透過語言模型簡單地進行攻擊，為什麼早已深入了解自家架構的工程師不在半年前就開始這樣做？

問題在於，目前在資安上的通報機制會讓發現問題的人被處罰，發現問題不會得到任何賽局上的好處，因此在賽局理論中，隱瞞可能發生的問題才是納許均衡點，所有人只能被動地陷入囚徒困境。

主動發現內部既有漏洞的工程師鮮少會得到獎賞，偏偏他們應該是成本最低的那群人。發現漏洞提報後，會傳遞到產品經理或專案經理（PM）身上，他必須決定哪些功能要做、優先順序如何，衡量「理論上」和「實際上」的差距。

這邊我可以請大家回去做一件事情：回去問自己家 PM 有沒有聽過「CVSS」？絕大多數都沒有！如果沒有的話，那 PM 到底要怎麼決定哪些漏洞要先修、哪些要後修？在根本沒有輕重緩急標準的情況下，絕對就是「老闆說下個禮拜要的」、「客戶說這個功能有就簽了」的功能最優先。

於是乎，主動去修這些漏洞的工程師，可能會被檢討是否另外造成漏洞；延後了那些看似更緊急的工作，也一定會被檢討。因此通常來說，多一事不如少一事。漏洞就是這樣被包裝在商業軟體中打包出去的。

接下來就是最神秘的地方了。軟體採購會分為「甲方」和「乙方」，但是由於綁架等等因素，在現況下雖然甲方出錢好像是老大，但是談判空間日漸減少。否則去問看看貴公司設計師：「我們可不可以不要用 Adobe，用個便宜一點的好不好？」或是問會計：「你們不能學一下 Ubuntu 嗎？」

小型的軟體公司一開始不會有這種優勢，但是隨著使用時間增加、轉換成本上升，即使今天 27001 掃描到了脆弱性，對於失去談判籌碼的甲方而言只能採取「補償性措施」。不是我不願意換掉這批 Win 7，只是真的沒錢，所以輔導廠商建議我們可以拔掉它們的網路線，作為「補償性措施」。因此後來發現的漏洞也逐漸比照辦理了。

因為乙方說：「這個產品已經停止維護了，你們當時是買斷的，我會建議你們可以升級💲」所以對於甲方 PM 而言，他很難預測到今年他可能從前人接下來的幾套買斷系統中，有多少系統需要編列預算重新採購。同時，重新採購也會增加被質疑「增加不必要的成本」的可能。這就是這些漏洞被留在商業系統中的原因。

事情走到了這一步：某個資安研究員可能因為各種原因，以外部人員的身分發現了這個漏洞的存在。但是外部人員通常是不受信任的，因此在調查、驗證漏洞的期間，又會增加漏洞可以被利用的時間。

在這個階段來說，資安研究員如果能夠成功驗證這是一個漏洞，那麼就會取得一個叫做 CVE 編號的東西。這個就像是學術期刊發表一樣，在領域內是有聲譽的，因此也和學術期刊一樣，會需要有審核機制。有審核就會有 False Negative 而不通過的狀況，因此也不一定所有的研究員都會把漏洞公開換取聲譽，也有可能變成一種情報在地下交換。

到了這個階段來說，也許本來不重要的漏洞，就有可能經過這樣的過程，和連續幾個不重要的漏洞組合起來，變成真的能威脅資訊安全系統的漏洞。

但是 AI 的出現改變了外部環境，找到漏洞、回報漏洞的成本迅速變小許多。但是由於幻覺的因素，加上 AI 容易將決策偏向保守，因此誤報的漏洞也十分多，對於各個專案中負責判斷是否是漏洞的工程師來說都是不小的壓力。

也就是說，真正有價值的回報，反而同時被 AI 的大量外部回報給「洗版」了。

最後來談事件發生。實際上，資安事件發生影響最大的都是商譽，但是主動揭露內部資安事件影響到的也是商譽。主動揭露影響到的商譽比較大，還是被揭露時的商譽影響比較大，其實沒有數據可以佐證。

根據強者我朋友表示，去年到今年初其實就有不少飯店業者被攻擊，損失幅度很高，但是透過公關技巧把整件事情「滅火」了。也就是說，在損控上面，企業實務上可以採取兩個方向：一個是透過工程師壓住正在發生的事件，進行事件回應（IR）；另外則是透過公關層面找個有名的資安公司來做 IR 後，宣稱已經做了許多的對應手段，請大眾放心了。

但根據強者我朋友觀察過的某次事件，在勒索軟體公開的資料當中，如果願意透過 AI 從暗網下載被洩露的資料，就可以發現沒有被成功更改的管理員密碼。也就代表實際上資安公司的 IR 往往也是公關上的用途大於技術上的用途。