隨著「氛圍編碼」（Vibe coding）概念於程式開發領域，逐漸成為工程師們所追逐的流行，究竟由 AI 所生成的程式碼是否足夠安全，就成了當前資安業者重點關注的全新議題。
面對 AI 編碼所帶來的潛在風險，成立於 2021 年的資安新創公司 OX Security，即特地為企業和程式開發人員，設計出透過生成式 AI 所驅動的創新雲端平台，藉由掃描人類與 AI 所撰寫的程式碼，嘗試用最高效率的方式抓出軟體漏洞，協助企業提升整體資安防禦能力。
AI 掃描程式碼抓漏洞，再模擬駭客攻擊手段
OX Security 表示，當今多數企業的 IT 系統中，通常都存有大量非緊急性的軟體漏洞和安全弱點，然而開發人員想要快速發現並修復問題，事實上卻相當困難。
因此，OX Security 選擇透過生成式 AI 工具，開發出一套專為資安而生的雲端 AI 平台，試圖簡化找出漏洞的任務，並且藉由 AI 的力量，進一步評估各種弱點，是否擁有被駭客利用的價值，甚至能夠預判漏洞遭到有心人士利用之後，企業可能會因此外流或損失哪些資料。
舉例來說，如果 OX Security 所開發的雲端 AI 平台，在 GitHub 上找到內含某家企業內部帳號和密碼的資料集，其 AI 演算法就會開始進行一系列的資安風險評估，比方說測試該資料集是否可供公開存取，以及模擬駭客可能利用資料集所發起的攻擊手段等。
當確定找到構成風險的漏洞後，該公司的雲端 AI 平台會進一步評估潛在漏洞，可能對企業客戶造成的影響，例如判斷外洩資訊是否可被用於登入企業內部系統，以及分析擁有弱點的軟體、系統或環境，是否包含企業內部的敏感資料。
此外，OX Security 的雲端 AI 平台甚至還能模擬駭客透過單一漏洞，突破企業內部其他可能弱點的激進情況。
深度探測 API 弱點，即時攔截未修復程式
除了軟體程式碼本身具備的漏洞之外，應用程式介面（API）則是另一個常見的資安風險來源，因為開發人員經常會忽略 API 上所擁有的弱點。
OX Security 表示，公司所開發的雲端 AI 平台，將可以自動尋找應用程式環境中的所有 API，並且讓 AI 深度掃描其中可能擁有的漏洞。
在掃描、發現軟體漏洞，以及模擬駭客可能的攻擊方式之外，OX Security 的雲端 AI 平台還可以主動對弱點的修復方案提出建議，交由人類進行後續修補；假若程式漏洞尚未修復卻又被推送上線，雲端 AI 平台也能夠即時發起攔截。
AI 加速程式開發，人類卻也失去資安判斷力
身為 OX Security 創辦人之一的 Neatsun Ziv 表示，在過去一年之間，AI 技術徹底改變了軟體開發流程，無論是經驗豐富的工程師，或者程式設計初學者的開發速度，全都得到了顯著提升。
然而 Neatsun Ziv 也認為，AI 工具加速程式開發所帶來的缺點，就是令人類失去察覺細微安全漏洞，其所需要的批判性思維和判斷力。
Neatsun Ziv 強調，透過 OX Security 所打造的雲端 AI 平台，開發人員於軟體資安問題上所花費的時間，將能夠得到徹底釋放，並且讓他們專注於更創新的任務，同時改善企業的整體安全。
天天分析 1 億程式碼，微軟、IBM 爭相投資
目前 OX Security 旗下擁有約 200 家企業客戶，包括 eToro、SoFi、IBM 和微軟等，亦有《財星》前 10 強企業、政府及軍事單位和美國聯邦機構，其雲端 AI 平台每天為客戶分析超過 1 億行程式碼。
即便 OX Security 自 2021 年創立後，公司經常性收入已達 1,000 萬美元，但近日他們仍獲得一筆 6,000 萬美元的全新投資，由 DTCP 領頭挹注，IBM、微軟等公司共同參與，使得該公司的外部投資總額飆破 9,400 萬美元。
OX Security 聯合創始人 Neatsun Ziv 表示，近期公司所得到的全新資本挹注，將被用於企業下一步的成長和擴張，包含各種全新資安功能的開發，以及打造能夠更加精準評估漏洞嚴重程度的 AI 模型。
目前 OX Security 所面對的競爭對手，包含 Snyk、Veracode、Synopsis 和 Checkmarx 等。身兼公司 CEO 的 Neatsun Ziv 表示，希望在今年結束之前，將 OX Security 的經常性收入再翻一倍，並於未來 2 到 3 年替實現正向現金流，擴大公司在全球資安市場的整體影響力。
【推薦閱讀】
◆ 【真的是老闆打的電話嗎】Jericho Security 用真人級 AI 模擬釣魚，讓企業防禦「明天的攻擊」
◆ 【資安新威脅】「零知識駭客」不會寫程式，卻靠沉浸式世界讓 AI 生出惡意軟體
◆ 企業導入 AI 為何須重新思考資安？「5 大情境」解析最常忽略的風險
＊本文開放合作夥伴轉載，參考資料：《TechCrunch》、《SiliconANGLE》，首圖來源：OX Security
（責任編輯：鄒家彥）
