在我多年的資安工作經驗中，資安團隊一直面對同一道難題：漏洞數量永遠多過團隊能修補的數量，卻缺乏足夠的訊號判斷哪些漏洞真正重要。如今，最先進的 AI 技術正讓這項挑戰更加嚴峻。隨著 AI 模型的能力持續提升，已能以機器速度發現並分析漏洞，漏洞被揭露的數量與速度即將大幅加快。每位資安主管都該問自己一個簡單的問題：你理解風險、排定優先順序並降低風險的能力，跟得上這個速度嗎？
在趨勢科技 TrendAI™，我們的答案來自數十年來持續在做的事，而且這不是一項新的承諾，而是我們長期堅持、如今更進一步實踐的承諾。
CISA KEV 是什麼？為什麼它是資安領域最實用的訊號？
CISA KEV 是美國網路安全暨基礎設施安全局 (Cybersecurity and Infrastructure Security Agency，簡稱 CISA) 維護的 已知遭到攻擊的漏洞 (Known Exploited Vulnerabilities，簡稱 KEV) 清單，收錄的每一個漏洞都有證據顯示正在被攻擊者實際利用。 截至 2026 年年中，清單已超過 1,300 筆，且每週持續新增。這使得 CISA KEV 成為資安界判斷漏洞優先次序最實用的訊號：它能告訴資安人員駭客正在使用什麼，而非理論上可能使用什麼。
趨勢科技 TrendAI™ 長期以來即將虛擬修補與漏洞應變資源聚焦在這類高衝擊漏洞，如今，我們將進一步強化這項承諾。KEV 清單收錄的每一個漏洞都是駭客正在積極攻擊的漏洞，所以修正這些漏洞，能帶來真實且可量化的風險降低效果，而非只是防範假設性問題。
客戶觀點：資安長怎麼看 CISA KEV？
「CISA KEV 是資安領域最實用的訊號之一，因為它直接告訴防禦方攻擊者已經在用什麼。」DataBank 資安長 Mark Houpt 表示，「但隨著 AI 改變漏洞被發現的速度，資安團隊必須從靜態的漏洞優先排序，轉向持續性的決策與行動。能最快將漏洞情資轉化為實際風險降低的組織，將取得關鍵優勢。」
虛擬修補是什麼？為什麼能在修補程式推出前提供保護？
虛擬修補（Virtual Patching）是在廠商修補程式尚未釋出或尚無法部署時，於網路層與工作負載層先行封鎖已知漏洞的攻擊途徑，讓系統在官方修補程式測試與部署期間仍受到保護。 差別在於：你是被動等待修補週期，還是今天就受到保護。
這項能力的基礎，來自 TrendAI™ Zero Day Initiative™（ZDI） 的原創研究。ZDI 是全球規模最大、不限廠商的漏洞懸賞計畫，其研究成果直接整合至 TrendAI Vision One™ 平台，讓客戶最早能在原廠正式修補程式發布前 115 天，取得相應的漏洞防護。在 AI 不斷壓縮「漏洞被發現」到「漏洞被利用」時間差的世界裡，這段領先時間比以往任何時候都重要。
為什麼單一漏洞清單或評分系統不夠用？
坦白說：隨著 AI 提高漏洞被發現的數量與速度，沒有任何單一清單或評分系統（包括 KEV 在內）能提供企業判斷「什麼最重要」所需的完整情境脈絡。
漏洞管理 的未來，取決於整合多重訊號：實際遭利用的證據、漏洞情資、組織曝險狀況、資產與業務情境脈絡，以及新興威脅活動；也取決於 AI 持續權衡這些訊號，判斷在哪裡採取行動能降低最多風險。對趨勢科技 TrendAI™ 而言，KEV 是這段演進中的重要基準，而非終點。
什麼是 Time to Zero？如何縮短漏洞風險暴露時間？
「Time to Zero 」指的是從漏洞被發現，到主動式風險降低措施實際部署完成所需的時間。縮短這段時間，有助於企業減少漏洞尚未獲得適當防護期間的資安風險。
依漏洞類型、受影響服務、企業環境，以及廠商修補程式是否存在，適當的因應措施可能是虛擬修補、新的偵測邏輯、補償性控制措施，或政策更新。不變的是方向：漏洞來得越快，防護也必須到得越快。
AI 讓這件事得以規模化。在 TrendAI Vision One™ 中，我們整合 ZDI 研究、漏洞利用情資、曝險情境脈絡與業務風險，驅動 AI 輔助的優先順序判斷，讓資安團隊能運用所有可取得的訊號做出更好的決策並採取行動。
資安主管現在該做什麼？
若你正在思考如何因應 AI 加速的漏洞揭露，建議從三件事開始。
- 第一，以 KEV 清單檢視自身組織的曝險狀況，因為它代表已被證實的現行風險。
- 第二，確認在「漏洞揭露」到「修補程式部署」之間的空窗期，是否具備虛擬修補這類主動式防護。
- 第三，開始從靜態、以評分為基礎的漏洞優先排序，轉向結合風險情境的持續性決策模式。
下一個 漏洞管理 時代，不會由「誰找到最多漏洞」定義，而是由「組織能多快理解並採取行動」定義。能最快將漏洞情資轉化為風險降低的組織將取得關鍵優勢，而我們的目標，是確保我們的客戶名列其中。
常見問題（FAQ）
- CISA KEV 已知遭利用漏洞清單是什麼？
CISA KEV (Known Exploited Vulnerabilities，簡稱 KEV) 是美國網路安全暨基礎設施安全局 (Cybersecurity and Infrastructure Security Agency，簡稱 CISA) 發布的權威性清單，收錄已知正被攻擊者實際利用的漏洞，全球資安團隊皆以此作為修補優先順序的依據。 - 虛擬修補是什麼？
虛擬修補（Virtual Patching）是在官方廠商修補程式尚未釋出或無法安全部署前，於網路層或工作負載層阻擋已知漏洞遭到利用的防護技術。 - 趨勢科技 TrendAI™ 如何決定漏洞修補的優先順序？
趨勢科技 TrendAI™ 結合 CISA KEV 已知遭利用漏洞清單、TrendAI™ Zero Day Initiative™（ZDI）原創漏洞研究、漏洞利用情資、組織曝險狀況與業務情境脈絡，並在 TrendAI Vision One™ 中運用 AI 持續判斷在何處採取行動能降低最多風險。 - 虛擬修補能比廠商修補程式早多久提供保護？
ZDI 的研究成果可直接整合至 TrendAI Vision One™，客戶最早可在原廠正式修補程式發布前 115 天取得相應的漏洞防護；實際提前時間依個別漏洞而異。
關於作者
Rachel Jin 是趨勢科技企業 AI 資安業務部門 TrendAI™ 的平台及業務長，她在網路資安領域擁有工程、產品管理及高階領導階層等 20 多年的資歷。