Cognition 資安長 Alex Stamos：AI 讓資安產業陷入混亂，而且才剛開始

接下來資安事件只會更常見。The Verge 報導，Cognition 的首席安全官 Alex Stamos 認為，AI 正讓全球網路安全產業面臨前所未有的混亂，而他的原話是，這只是 AI 改變安全領域的開始。 他點出的具體變化是：有了 AI 輔助，國家行為體和私人攻擊者都能同時偵測並利用系統漏洞，駭客攻擊與資安事件因此頻繁出現。以前這種事需要資源和時間，現在兩種身分的攻擊者都用得上同一類工具。畫面有點像大樓每一扇沒鎖好的門，同一時間有好幾批人在試門把，而且他們不用排隊。 週末退一步看，同一天的其他新聞剛好湊成一張拼圖。Hacker News 上有一則：Claude Code 的「Don't Ask Again」功能出了漏洞，使用者密碼被寫進並公開在 GitHub 上，涉及 1,122 個檔案。另一邊，Salesforce 公布 Slack 數據，每週有 1.27 億次 MCP 工具呼叫，數量每季翻倍；Anthropic 內部有 65% 的程式碼變更是透過 Slack 發布。 這三則新聞各自的事實我只能照寫，彼此的因果素材沒有說，我不替它們接線。但我自己的看法是：AI 工具經手的流程越多，密碼和憑證可能出現的地方就越多，像 Claude Code 這次的案例，洩漏發生在工具的行為裡，不是開發者自己手滑貼上去。1,122 個檔案這個數字，已經夠說明工具預設行為出錯時，影響面是一整批使用者。 所以我的週末作業很具體：去翻一下自己的 GitHub repo 有沒有不該在的憑證，檢查你用的 AI 工具到底會把什麼寫進哪裡，把「不再詢問」類的選項重新看一遍。攻擊方已經在用 AI 加速，防守方的功課還是那些老東西，只是現在不做的代價來得更快。 下一次看到類似新聞時，希望我們檢查的是別人的 repo，不是自己的。