AI 驅動的漏洞搜索使 CVE 數量翻倍，焦點轉向快速修補部署

根據 CVE.icu 所維護的公共 CVE 資料庫，2026 年 9 月 16 日的統計顯示已收錄 66 401 筆漏洞條目，較 2025 年同日的 33 512 筆幾乎翻倍。此增幅在《Wired》報導中被形容為一年內漏洞揭露量的近乎雙倍增長，突顯出資安生態系統正面臨前所未有的擴張壓力。

這波激增的主要推手是自主的 AI 驅動發現代理人，它們在全球範圍內對開源程式碼庫、二進位檔以及私有倉庫進行大規模、持續的掃描。作為漏洞識別協調機構的 FIRST 亦預測，2026 年全年度的 CVE 數量將接近 66 000 筆，並明確指出 AI 工具在其中扮演了加速的關鍵角色。

驅動數字的因素

除了 AI 本身的效能提升，漏洞數量的上升還反映出一種「追補」效應：過去未被正式登錄的缺陷在新工具的協助下被重新發掘並追溯性列入資料庫，同時 GitHub 安全諮詢、VulnCheck 等新興資訊來源的加入，使得覆蓋範圍更為廣闊。

Mozilla 最近公開其安全行動成果，利用 Anthropic 旗下的 Mythos 大型語言模型在 Firefox 代碼基礎上發現了 271 項漏洞。此案例說明，LLM 能夠在傳統模糊測試與手動程式碼審查之外，提供更深層次的語義分析與漏洞定位能力。

修補產出同步提升

面對快速累積的 CVE，供應商正以更高的修補發布頻率作出回應。《Wired》指出，微軟在 2026 年 9 月單月釋出 974 個安全更新，Oracle 在 7 月推出 1 448 個修補，Google 於 6 月發布兩個大型 Chrome 版本，合計提供 1 072 個修補程式。

• Microsoft – 974 個修補（2026 年 9 月）
• Oracle – 1 448 個修補（2026 年 7 月）
• Google Chrome – 1 072 個修補（2026 年 6 月）
• Mozilla – 透過 Mythos 發現的 271 項漏洞

然而，這些數據也揭示了即使發現速度大幅提升，修補仍是一項高度依賴人力與協調的工作。從漏洞協調披露、測試修補的有效性，到最終將更新交付給終端使用者，都需要熟練的工程師與緊密合作的回應團隊。

發現與修補之間的作業風險

對企業而言，真正的風險不在於 CVE 的絕對數量，而在於自動偵測與後續開發、測試、部署修補之間的時間差。未即時處理的漏洞會形成資產曝露窗口，讓攻擊者有可乘之機。

同時，已知缺陷的激增也使安全營運中心（SOC）的工作負荷飆升。分析人員必須在更緊迫的時程內對警報進行分流、驗證可利用性，並依優先級快速安排修補工作。

即使被積極利用或屬高危等級的 CVE 僅佔總量的一小部分，維護者在驗證、協調與交付修補的壓力已顯著提升，導致現有的資安人力資源面臨前所未有的緊繃局面。

CVE.icu 的儀表板每六小時即自動刷新，涵蓋超過 30 萬筆、跨越二十八年的條目，提供近乎即時的可見性，同時凸顯漏洞生態系統規模持續擴大的趨勢。

策略調整與未來展望

對於以中文為主要營運語言的組織而言，這波變化意味著安全策略必須從單純的偵測工具投資，轉向自動化修補管理與快速測試的整合。將修補流程納入持續整合（CI）與持續部署（CD）流水線，並加強與供應商的協調，是提升韌性的關鍵。

在台灣與大中華區的企業中，已開始看到資安團隊增設自動化修補平台、引入 AI 驅動的漏洞優先排序模型，以及與主要軟體供應商建立更緊密的安全諮詢渠道。唯有同步提升人力、流程與技術，才能在 AI 加速的漏洞發現浪潮中保持防禦的有效性。