開源軟體安全

今年台灣駭客年會HITCON 2025活動現場，AIxCC競賽季軍隊伍Theori共同領隊在臺暢談參賽經驗，當中特別闡釋從10年前CGC挑戰賽，到現在AIxCC挑戰賽的技術轉變，並揭示LLM的進化足以改變我們應對漏洞的方式

今年台灣駭客年會HITCON 2025的重頭戲，是AIxCC冠軍隊伍Team Atlanta成員首度在臺公開他們的寶貴經驗。包括2023年競賽初期，他們也曾懷疑是否真能運用LLM來自動發現漏洞與修補，以及後續團隊是如何設計其系統架構並分工合作

如何藉助AI加快漏洞檢測與修補，是當今重要研究課題，最近已有實質進展，尤其是美國DARPA舉辦的AI Cyber Challenge（AIxCC），決賽結果8月公布，識別漏洞率從去年的37%提升至今年的77%，並額外找出18個C程式語言與Java程式語言的零時差漏洞

善用AI幫助解決資安漏洞問題，是全球密切關注與發展的因應之道，而且在協助撰寫安全程式碼之餘，現在更看重能自動發現漏洞，甚至已聚焦自動提供漏洞修補方案

這一星期有微軟、D-Link、Palo Alto Networks的漏洞利用情況須重視，還有多家IT廠商的每月例行安全更新修補發布；在資安事件焦點方面，國內5家上市櫃發布資安事件重大訊息，包括佰研、富野、聯成、聯華、聯合再生，短短一周就有5篇資安事故公告，格外引人注目

這一星期適逢清明連假，而連假前夕最大條的資安消息，就是關於XZ Utils程式庫被植入後門與漏洞的事件，還有2個漏洞利用要注意，包括AI框架Ray與Android Pixel的漏洞；資安事件焦點方面，以CISA的Ivanti伺服器遭駭，及OWASP基金會資料外洩，最受矚目，臺灣也發生亞昕資訊校務行政系統遭駭、7高中受影響的事件

為解決開源軟體安全這項特殊的挑戰，近期，科技大廠、開源社群與美政府持續商討，如今已有具體行動，在兩次高峰會舉辦之後，「開源軟體安全動員計畫白皮書」正式發布，首年投入經費將達6,840萬美元，次年為7,950萬美元

無償的志工維護廣為企業採用的開源軟體，這種現象在Log4Shell漏洞事故再度引起關注，美國最近特別召集IT界要尋求解法；而國內再度傳出前員工危害公司的內部威脅事故，電子零組件大廠臺灣東電化的數名前員工，打算將公司核心技術帶往競爭公司使用