觀點 · 資訊分享

AWS 公布 Continuum 自動找漏洞、自己寫修補：920 題測試修好 89%，比前紀錄多 23 分

AWS 安全團隊介紹 Continuum，一套能自己找出原始碼漏洞、寫出攻擊驗證、再產生修補程式的多代理系統。在 920 題的 CyberGym-E2E 測試中，端對端成功率 89.0%，比先前公開最高的 65.9% 多出 23.1 個百分點。

一句話看懂：AWS 公布 Continuum，一套能自己找漏洞、自己驗證、自己寫修補的 AI 系統，在 920 題測試中修好 89%，但還沒說何時開放。

AWS Continuum 自動找漏洞並修補資訊圖卡：從找漏洞、做驗證到寫修補一條龍，920 題測試修好 819 題

先用白話講：自動修漏洞是怎麼回事？

想像一棟大樓的安全檢查。傳統做法是派巡邏員拿清單到處看，回報「這扇窗好像沒鎖」，至於是不是真的沒鎖、要怎麼修，得再派人處理。

Continuum 像是一組會分工的 AI 小隊：第一位負責找哪裡可疑，第二位真的去推推看那扇窗能不能打開，確認有問題後，第三位直接把鎖換好，還順便檢查大門、電梯是不是都還正常運作。

AWS 安全部落格在 10 月 5 日介紹 AWS Continuum for code vulnerabilities，一套自主處理原始碼漏洞的多代理系統：

它也能結合部署環境的資訊，例如服務是否對外、網路路徑、權限與設定，來排列處理的優先順序。

在 CyberGym-E2E 測試（920 題、涵蓋 139 個開源專案）中：

S3 是主要的端對端指標，比先前紀錄高 23.1 個百分點；拿掉 90 分鐘的時間限制後，端對端通過率達 93.7%。

S4 只有 37.8% 這個數字很值得注意：代表系統修好了「它自己找到的問題」，但測試指定的那個漏洞，只修好不到四成。AI 修漏洞的能力確實進步很快，但離「交給它就不用管」還有距離。

對小團隊來說，這類工具最大的前提其實是你的專案要有測試。Continuum 判斷修補成功的標準之一是「功能測試還通過」，沒有測試的專案，AI 改完你也無從確認有沒有改壞。與其等工具開放，不如現在先把核心功能的測試補起來，以後不管用哪一家的 AI 修補工具都接得上。

Continuum 跟一般的程式碼掃描工具差在哪？

一般掃描工具多半是列出「疑似」有問題的地方，真假和修法要人判斷。Continuum 會實際做出攻擊驗證程式去跑，確認漏洞存在後再寫修補，並檢查修補能擋住攻擊、原本的功能測試也還通過。

測試成績可信嗎？

數字是 AWS 自己公布的。文章說明測試時封鎖了對外查詢，事後也檢查過，成功案例來自漏洞分析，而不是去網路上找公開的修補。仍建議等有第三方驗證再下定論。

現在可以用嗎？要多少錢？

文章沒有說明是正式推出還是預覽，也沒有提到價格，只附上產品頁連結。想用的人建議追蹤 AWS 的後續公告。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。