2026 年 10 月的第三週，對任何在網路上執行軟體的人來說都相當難熬。
兩個 PHP 的重大漏洞，被安全團隊用前沿 AI 模型發現，還被暱稱為 PHP2Shell。估計顯示，它們影響了整個網路上相當大的一部分網站。各國政府要求組織立即修補，很多人乾脆直接把伺服器下線。就在同幾天內，LiteLLM 有惡意版本被上傳到 PyPI（這是今年第二次了），Railway 也揭露攻擊者已經取得客戶的環境變數，GitLab 釋出了最高嚴重性的漏洞修補，而少數 Linux 核心漏洞則被貼到了錯誤的郵件清單。
Drew Silcock 把這一切寫成了一篇很棒的總整理：Is this the new cyber normal?，非常值得完整讀完。
但我讀完之後，真正讓我停下來思考的，並不是某個特定漏洞，而是一個更簡單的問題：如果你的整家公司只有四個人，那到底是誰該來處理這些事？
節奏變快了
以前的資安有它的節奏。漏洞公告出來、修補程式釋出，然後你會有一些時間。也許是幾天，有時甚至是幾週，才有人真的搞清楚要怎麼利用它。「這週修好就行」曾經是合理的計畫。
但這種節奏已經不見了。現在，安全修補一發布，人們就會把 AI 智能代理丟去分析程式碼。代理會讀取變更內容，找出看起來像是資安修補的部分，反向推回它修補了哪個洞，並幫忙打造利用方式。以前需要熟練研究員花上幾週才能完成的事，現在幾個小時就可能發生。
在 PHP2Shell 的事件裡，據報在官方修補程式還沒正式釋出前，攻擊就已經開始了。「這週」已經不算計畫了，甚至連「今天」都快算不上。
攻擊變便宜了
真正改變一切的是這部分。過去，要找到一個嚴重漏洞並把它變成可運作的攻擊，需要罕見的技術和大量時間。這讓它很昂貴，而昂貴的事情通常發生得比較少。
現在，攻擊者可以把 AI 模型丟進一個程式碼庫裡，看看會產生什麼。很多內容都是垃圾。AI 會產生大量根本不能用的「利用程式」。但攻擊者不需要全部都能用，他們只需要一個能用。當嘗試幾乎沒有成本時，你就負擔得起試上一千次。
防守沒有變便宜
而在另一邊，幾乎沒有任何事情變便宜。
當重大漏洞出現時，還是得有人去讀安全公告、判斷自己是否受影響、確認哪些服務用了有漏洞的元件、測試修補、部署上線，接著還要翻查記錄，看看在修補前有沒有人已經闖進來。如果你先用 AI 掃描自己的程式碼，那當然很好，但這也要花錢，而且 AI 找到的每個漏洞，最後還是得有人去修。
AI 讓每個人找問題都變便宜了，但它沒有讓任何人修問題變便宜。而攻擊者只需要找到問題，你卻必須修掉它。
這就是規模開始產生差異的地方
大公司面對這種一週，會有資安團隊、值班輪替、事件應變手冊，以及那些工作內容就是隨時放下手邊一切來回應的人。對他們來說也很痛苦，但他們就是為這種情況而存在的。
小團隊不是這樣。對一個四人新創來說，負責資安的人通常同時也負責部署、資料庫、客戶支援工單，以及原本應該在週五上線的功能。沒有輪班制度。只有剛好醒著的那個人。
而當建議是「先把伺服器下線，直到你修補完成」，代價就完全不同了。大公司撐得住一天的停機；一個只有幾百位付費客戶的小產品，可能會因此永久流失一部分客戶。
你承接了別人的問題
小團隊不會自己打造一切。他們也做不到。他們建立在各種框架、套件、託管平台和 AI 工具之上，而這些全都是別人寫的。
通常這是優勢。這也是小團隊能夠真正把產品做出來的方法。但這也代表，一旦其中某個環節被攻破，問題會立刻變成你的。你沒有寫出 LiteLLM 的後門，但如果你安裝了那個版本，你的憑證可能已經不見了。你沒有把 Railway 設定錯，但如果你的密鑰存在那裡，你現在就得把它們全部輪替一次。
對大公司來說，這只是資安團隊的一張工單；對小團隊來說，則是一整天的產品工作全沒了，拿去收拾一個不是自己造成的爛攤子。
我們為了跑得更快而採用的工具
這裡有個諷刺的地方。小團隊一直是最早採用 AI 工具的一群，因為 AI 承諾的正是他們最需要的：用更少的人做出更多成果。
但每一個這樣的工具，背後都會附帶一些東西。另一把 API 金鑰。另一個依賴項。另一個可以存取你程式碼或資料的服務。那週其中一個事件，是某資料庫公司的資料外洩，據報導有好幾家 AI 供應商的 API 金鑰被貼進內部工單裡而外洩。金鑰會悄悄四處散落，而每一把，都是攻擊者很想找到的東西。
那些幫助小團隊跟上進度的工具，也同時替攻擊者提供了更多目標。
跟不上，不等於不在乎
我不認為小團隊是在忽視資安。據我認識的大多數開發者，其實都很在意。問題是，底層的算術已經改變了。
要用新的速度來防守，前提是小團隊通常不具備的條件：全天候值班的人力、掃描工具的預算、審查每個依賴項的時間、以及承受停機的空間。當攻擊變得更快、更便宜，但防守仍然緩慢且昂貴時，差距並不是平均地落在每個人身上，而是最先砸到資源最少的人身上。
我沒有一個漂亮的答案
也許這只是暫時的激增。也許 AI 只是一次把多年累積的舊漏洞一起清掉，等這批待修清單消化完之後，情況就會平靜下來。又或者，這其實就是現在的資安樣貌。
不管怎樣，我感覺我們正處在一個時期：防守軟體的成本正在快速上升，而小團隊是第一批感受到的人。
如果你也是小團隊的一員，我真的很想知道那一週你們是怎麼撐過去的。你們有及時修補、把服務下線，還是直到事後才發現？
原文出處：https://dev.to/james_anderson_h/security-changed-with-ai-and-small-teams-are-falling-behind-5ebg
1) --- 會變成分隔線（上一行必須是空白）
2) # 會變成一級標題
3) ## 會變成二級標題
4) ### 會變成三級標題
5) **粗體文字**會顯示粗體文字
6) ```當第一行與最後一行會顯示程式碼
7) 請搜尋 Markdown 語法，了解各種格式
