作者：默思編輯部 發布：2026-10-22
2026年接連發生的WP2Shell與PHP2Shell事件，剛好提供兩個可以互相對照的真實樣本，讓我們討論「AI跟資安研究未來會怎麼協作」這個問題時，有實際案例可以引用，而不是純粹空想。
WP2Shell（WordPress核心漏洞CVE-2026-63030、CVE-2026-60137）是由Searchlight Cyber研究員用AI模型審查WordPress整個原始碼樹後找到的攻擊鏈，這不是單一個案——Google旗下Project Zero與DeepMind合作的「Big Sleep」專案，同樣以LLM自主完成漏洞研究，2025年單一批次就回報超過20個開源專案漏洞（涵蓋FFmpeg、ImageMagick等），其中一項SQLite漏洞甚至是既有模糊測試（fuzzing）基礎設施都沒抓到的。
PHP2Shell則呈現另一面：Wiz研究人員指出，這個存在已久的PHP記憶體狀態問題，過去因為利用門檻太高沒被當回事，AI模型的出現讓複雜攻擊鏈的組裝變得可行，等於替攻防兩端同時降低了技術門檻——防守方能用AI加速找漏洞，攻擊方同樣能用AI加速把舊漏洞武器化。
這兩個案例合起來看，比較誠實的結論不是「AI要取代資安研究員」，而是AI正在把漏洞研究的瓶頸，從『有沒有人力去審查原始碼』移到『審查結果出來之後，誰來做最後的驗證與風險判斷』——Big Sleep找到的漏洞一樣需要人類專家做最終確認才會對外回報。換句話說，短期內更可能出現的協作模式，是AI負責大規模、高覆蓋率的初篩，人類負責驗證、分級與決策，而不是完全無人介入。
對想往資安方向發展的人來說，與其焦慮AI會不會取代這份工作，不如現在就培養「看得懂AI初篩結果、能做出正確判斷」的能力。
參考資料