引言：當 AI 搵到缺陷嘅速度快過團隊審查修補，會發生乜事？
搵到漏洞只係第一步。喺啱嘅位置安全咁修好佢，先係難嘅部分。
2026 年 11 月 4 日，OpenAI 發表報告，講一條 AI 流水線重現咗 1,724 個 Linux 內核漏洞，仲產生 948 個可行嘅本機提權結果。作為私人 AI 模型開發者同 AI 安全顧問，我將呢件事當成關於證據同流程嘅一課。呢篇文章只講防禦同管治。
1. 準確咁計算證據
OpenAI 表示，948 個結果係按 948 個唔同嘅候選補丁計算。呢個係流水線建議嘅修補數量，唔係內核已接受嘅修補數量。
標題重複呢個數字嗰陣，記住呢個分別。候選補丁只係建議。維護者仍然要審查、測試，再決定佢應唔應該入共用代碼。
2. 分開候選補丁同已合併代碼
報告指數以百計嘅嚴重報告已經送咗去上游。十日後，61 個已喺上游修補，43 個有預備補丁，299 個正喺公開討論。
呢啲數字顯示咗真正嘅進展，亦顯示仲有幾多未解決。內核自己嘅指引期望補丁公開審查，並且細、清楚、解釋得好。發現得快，並唔能夠取代呢個過程。
3. 將補丁審查當成瓶頸
當機器可以提出好多修補，人嘅注意力就變成稀缺資源。審查者要明白改動、檢查副作用，仲要避免批准無用嘅雜訊。
依賴開源軟件嘅機構應該為此做計劃。預留時間升級，為關鍵組件指定負責人，並追蹤邊啲報告影響你實際運行嘅版本。
4. 用最新代碼重新驗證
OpenAI 描述咗十月中嘅一次運行，入面有一個 30 小時嘅驗證窗口。呢種測試之後軟件會繼續變，所以針對某一個快照嘅結果可能過時。
對任何發現採取行動之前，先喺你部署嘅現行版本上確認。每次更新後重新運行自己嘅檢查，並記錄每次測試嘅版本同日期。
5. 小心使用成本數字
OpenAI 報告總成本係 1,213,430 美元，即每個可行結果約 1,279 美元。請當佢係開發者自己針對一次研究環境運行提供嘅數字。
呢個數字唔會話你知類似計劃對你嘅業務要花幾多。除咗運算，仲要計分流、審查、測試同部署所需嘅人手時間。
6. 寫俾商界領袖嘅全球教訓
第一，睇清每個統計數字背後嘅單位：候選、報告同已合併修補係三樣唔同嘅嘢。第二，擴大搜尋之前，先計劃審查能力。
第三，隔離關鍵系統，限制一個被入侵嘅帳戶可以去到邊。最後，要求獨立檢查並保留記錄，令你嘅決定經得起日後審視。
總結：搵缺陷嘅進步，要配合修缺陷嘅進步
AI 可以擴闊保安團隊睇到嘅範圍。佢唔會取消認真審查、最新測試同清晰責任嘅需要。
人工智能可以大規模搜尋。數學可以令數字保持誠實。有紀律嘅工程必須將發現變成安全嘅修補。
References and Further Reading
- OpenAI, A thousand fewer paths to root, 4 November 2026
- The Hacker News, OpenAI AI pipeline and 948 Linux flaws
- Unite.AI, OpenAI pipeline and Linux kernel privilege-escalation flaws
- Linux kernel documentation, Submitting patches
By Keshavan Thiagaraja
Private AI Model Developer & AI Security Consultant Helping SMEs and Enterprises Build Secure AI Solutions Sydney, Australia.
B.Sc. (Computer Science, Mathematics and Statistics),
M.Sc. (Information Technology)
E-Commerce Professional
