Google：AI令漏洞披露速度倍增，AI發現漏洞半數可致遠端執行代碼

每月漏洞披露數字倍增

根據Google Threat Intelligence Group（GTIG）9月30日發表的報告，分析2025年1月至2026年8月期間的漏洞披露數據後發現，每月漏洞披露數字由2026年1月的5,045個，大幅上升至7月的10,477個，並於8月進一步攀升至10,740個高位。

GTIG提醒，原始披露數量單憑數字本身可能具誤導性，因為開源生態系統中自動化的CVE編號機構（CNA）分配政策會令基數膨脹。例如，僅描述提及「Linux Kernel」的漏洞，在2026年1月至8月期間就產生約5,000個CVE編號，但當中沒有一個觀察到在野零日漏洞利用。

報告另指，GTIG自訂的「高風險」評級漏洞（非CVSS評分）披露數字增長最顯著，由1月的131個增至8月的350個，升幅達167%。此類高風險漏洞的增長，主要由TOTOLINK路由器韌體研究披露及Oracle季度關鍵修補更新（CPU）等供應商披露週期所推動。

漏洞在野利用亦接近倍增

報告顯示，2026年1月至8月GTIG記錄了141個遭在野利用的獨立漏洞，已超越2025年全年合共127個的數字。平均每月在野利用漏洞數由2025年的10.5個，上升至2026年的18個。

不過GTIG強調，遭利用漏洞佔已披露漏洞的比例仍然極低，2026年僅0.23%（約431個中有1個）的已披露漏洞曾被觀察到遭主動利用。零日漏洞利用則只是輕微上升，由2025年平均每月8個升至2026年平均每月11個，但8月單月急升至22個，零日漏洞佔今年首8個月所有遭利用漏洞的62%。

GTIG指出，高風險漏洞遭利用的數字由2025年的28個，升至2026年首8個月的75個，升幅逾倍，並推測威脅行動者可能更傾向利用大型語言模型自動分析產品版本差異、修補程式及概念驗證代碼，以加快將已披露漏洞（n-day）武器化，而非投放資源發掘全新零日漏洞。

AI發現的漏洞風險輪廓明顯不同

據SecurityWeek引述GTIG報告，由AI發現的漏洞中，僅39%被評為低風險，58%為中風險，相對非AI發現漏洞的69%及28%。GTIG指，這可能反映研究計劃部署AI代理時，傾向針對關鍵基礎設施及敏感權限邊界進行審計，聚焦於影響較大的發現。

報告亦指，AI發現的漏洞中有50%可導致遠端執行代碼，遠高於非AI發現漏洞的26%，GTIG認為這源於AI模型能夠找出傳統靜態分析工具遺漏的記憶體損壞及邏輯缺陷。

報告舉出一個實際案例：BeyondTrust Privileged Remote Access及Remote Support中一個未經認證的作業系統指令注入漏洞CVE-2026-1731，由Hacktron AI研究代理自動發現。據SecurityWeek報道，一個威脅組織在該漏洞公開披露後4日內即加以利用，隨後7日內再多5個組織跟進利用。

AI基建本身的漏洞數字同步上升

報告指出，GTIG在2025年1月至2026年8月期間追蹤到2,076個與AI相關的CVE編號，其中超過1,500個在2026年出現，約半數影響AI編排框架。在這2,076個漏洞中，只有少數已確認遭在野利用，包括LiteLLM及Langflow中的缺陷，GTIG目前尚未觀察到AI基建遭零日漏洞利用的情況。

GTIG預期短中期內漏洞發現及利用速度將持續上升，建議企業由不分優先次序的大規模修補，轉向以威脅情報為主導的分類處理，結合針對性邊緣防禦及自動化代理修復。