OpenSSF發布AI漏洞發現與修補指引 強調分步驗證與人工審查

開源軟體安全基金會（OpenSSF）旗下工作小組發布AI漏洞發現與修補實務指引。指引涵蓋漏洞發現、驗證、風險排序、修補及部署更新流程。OpenSSF指出，為避免AI代理自行否定實際存在的漏洞，搜尋疑似漏洞與確認漏洞是否成立應拆成獨立步驟；同時因單次檢查可能遺漏，應重複執行檢查並搭配不同方法。對於AI產生的修補程式碼，指引強調AI可能僅修復表面或引入新風險，必須經過自動化測試與人工程式碼審查，確認解決根本原因後方可合併至專案。此外，指引建議在隔離環境中運行AI，高風險操作須經人工核准並配備中止機制，修補後亦應建立測試與分析規則以防問題重現。

值得帶走的重點

• OpenSSF建議將AI搜尋疑似漏洞與漏洞驗證拆為獨立步驟，以防AI代理自行否定漏洞，並應重複檢查以降低遺漏風險。
• AI產生的修補程式碼不得直接採用，必須經自動化測試與人工審查；AI運作建議置於隔離環境並由人工核准高風險操作。