runZero 彙整 - Version 2

技術威脅諮詢：FatFs 生態系統中的系統性記憶體安全缺陷

偵測與調查橫向移動：網路流量分析框架

技術指南：透過被動式網路偵測與應變（NDR）識別惡意跳板、遭濫用的管理協定及事件分流工作流

戰略性威脅簡報： 橫向移動代表了內部網路外洩中最關鍵的執行階段之一。與外部漏洞利用向量不同，對手在您的內部網路導航時鮮少引入自訂的惡意工具；相反地，他們會劫持合法的內建管理服務以混入正常的基準流量中。本框架詳細介紹了如何槓桿無代理程式的網路級遙測技術（例如 GREYCORTEX Mendel），來揭露未授權的跳板、區分惡意指令與常態 IT 管理，並實時對映結構性的攻擊鏈。

管理常態的幻覺

隔離橫向移動的核心挑戰，在於所涉及之協定的本質。SMB、RDP 和 PSExec 等服務構成了 Windows 企業每日基礎設施的維運基石。由於這些管道無所不在，威脅份子會刻意將其武器化，用以對映內部子網、定位高價值的 Active Directory，並在外洩暫存資產時不觸發傳統的周界防禦警報。

為了揭露 these 隱藏的威脅層，資安分析師必須將焦點從單一的檔案掃描控制，轉向全面的網路後設資料（Metadata）分析，檢查連線建立前的歷史脈絡，並追蹤主機在連線後瞬間轉向到了何處。

分析橫向移動的四種主要協定向量

對手偏愛原生的作業系統工具，因為這能確保執行的成功率，同時繞過傳統的軟體黑名單。資安團隊必須監控四種常見的協定架構，以查找維運濫用的跡象：

1. SMB 與 Windows 管理分享（ADMIN$）

伺服器訊息區塊（SMB）負責 Windows 網路中的標準檔案分發與印表機對映。然而，其內建的管理分享功能——特別是會暴露遠端主機系統根目錄的 ADMIN$ ——帶來了重大的惡意利用風險。取得此分享庫的存取權，允許攻擊者投放二進位檔案、佈署執行指令碼，並在環境中橫向移動工具。

網路流量偵測指標

被動式 NDR 引擎會監控 SMB 工作階段的應用層，以追蹤三個關鍵變數：使用中的 SMB 協定版本、被呼叫的明確分享路徑，以及相關的檔案寫入/讀取指標。雖然常規的管理員連線極少觸發異常的應用程式二進位檔案，但對手的橫向轉向頻繁將分享存取與即時工具編譯配對。例如，偵測到作用中的 ADMIN$ 工作階段後，緊接著發生涉及未經核准執行層（如在地 python.exe 佈署）的檔案操作，即為高保真度的入侵指標。

調查檢核表

發起端驗證： 將來源 IP 位址與受信任的管理員跳板主機（Jump hosts）及作用中的變更管理記錄進行關聯比對。
存取後觸發機制： 審計連線承載資料，以檢查分享存取後是否立即伴隨著二進位檔案投放或未授權的指令碼預備。

2. PSExec 服務衍生執行

PSExec 是來自 Microsoft Sysinternals 工具包的輕量級命令列遠端管理公用程式。它允許 IT 團隊在遠端端點上執行指令，而無需初始化完整的互動式桌面工作階段。攻擊者正是槓桿這項完全相同的能力，在目標子網中實現遠端 Shell 執行。

網路流量偵測指標

由於其底層機制，PSExec 在網路流量中留下了清晰的特徵碼。每次執行皆始於透過 TCP 上的 SMB 連連接埠 445 與目標的 IPC$ 分享建立連線，隨後立即在目標機器上安裝並啟動名為 PSEXESVC 的臨時 Windows 服務。由於此流量在網路上是以明文傳輸，NDR 平台可以直接讀取傳遞給遠端主機的明確指令字串，為對手的惡意圖謀提供直接證據。

調查檢核表

操作員身分核實： 對所有在標準維運維護時間外執行、或在毫無遠端管理歷史記錄之端點上初始化的 PSEXESVC 實例進行標記。
指令字串提取： 檢查解析後的應用程式後設資料以分析由該服務執行的精確指令字串，優先處理任何經模糊化（Obfuscated）的字串或未對映的二進位呼叫。

3. 遠端桌面協定（RDP）工作階段

遠端桌面協定（RDP）提供了對遠端目標機器的完整圖形化介面存取。如果對手透過網路釣魚或在地憑證傾印（Credential dumping）收割了合法的企業憑證，他們便能初始化經身分驗證的 RDP 工作階段，直接與內部檔案網路進行互動，進而繞過端點惡意軟體偵測層。

網路流量偵測指標

由於 RDP 工作階段的流量是原生加密的，資安分析師無法單憑網路串流直接檢查工作階段內部的鍵盤敲擊或檔案操作。因此，調查必須轉向分析連線後設資料，追蹤諸如來源-目的地 IP 對、工作階段持續時間及地理來源指標等變數。

工作階段的持續時間後設資料所能透露的訊息，遠比大多數分析師預期的更深。雖然短暫的內部 RDP 工作階段乍看之下可能無害，但必須將其與發起主機先前的行為基準線放在一起評估。如果該主機在開啟 RDP工作階段前夕展現出異常的系統查詢或未對映的資料庫存取，則該連線極可能是橫向鏈的一部分。分析師可以槓桿同儕圖表分析（Peer graphing），追蹤該主機在工作階段結束後立即與之互動的每個內部端點，以界定出完整的損害範圍。

調查檢核表

工作階段前的 host 基準線： 分析來源裝置歷史行為，以判斷工作階段前是否曾出現異常的通訊趨勢或掃描行為。
下游同儕圖表分析： 槓桿網路同儕關係圖，在 RDP 工作階段關閉後，對目標主機初始化的每一次後續內部連線進行追蹤與審計。

4. LLMNR 投毒（連結在地多點傳送名稱解析）

當標準的 DNS 查詢失敗時，連結在地多點傳送名稱解析（LLMNR）將充當備援的名稱解析協定。當 Windows 端點無法透過 DNS 定位目標主機名稱時，它會在在地網路區段上廣播一個多點傳送（Multicast）封包，詢問是否有任何同儕知曉該位址，這允許該子網上的任何裝置做出回應。

網路流量偵測指標

攻擊者可以透過運行 Responder 這類的工具來接聽 UDP 連接埠 5355 上的這些多點傳送查詢，藉此惡意利用此行為。發動攻擊的裝置會發送一個偽造的單點傳送（Unicast）回應，聲稱自己就是目標 host，從而迫使受害者機器嘗試進行驗證，並在網路上傳輸其 NTLM 憑證雜湊值。合法的 LLMNR 交換僅在用戶端與合法的資產持有者之間發生；偵測到源自異常 IP 位址且與發起請求之裝置毫無歷史通訊記錄的單點傳送回應，預示著存在活躍的投毒企圖。

調查檢核表

Responder 驗證： 將單點傳送回應者的 IP 位址與權威主機名稱註冊表進行比對，並標記任何試圖為未對映網域回答查詢的節點。

統一並行偵測方法論

隔離高階的橫向移動，需要同時運行多個互補的分析引擎，以消除單一控制項的可視性盲區：

偵測向量	核心分析焦點	對橫向移動情資的貢獻
網路行為分析 (NBA)	建立流量大小、連線時長及同儕配對的動態基準線。	標記結構性異常，例如工作站突然對高價值的資料庫區段發起未對映的連線。
入侵偵測系統 (IDS)	針對已知的威脅份子手法套用確定性的特徵碼比對。	無論基準趨勢為何，皆能瞬間識別特定的漏洞利用字串與已知的攻擊框架模式。
日誌關聯與處理	聚合來自端點、目錄和內部服務的應用程式與事件日誌。	利用明確的系統詳細資訊（包括 Windows 事件 ID 與作用中的處理程序建立）來富集網路流指標。

當這些偵測層在一個統一的 NDR 主控台內協同運作時，零散的警報就會轉化為清晰的攻擊時間軸。例如，如果 IDS 特徵碼標記了一個異常的 ADMIN$ 連線，而行為分析引擎同時記錄了該裝置內部同儕連結的異常激增，分析師面對的就不再是隨機的雜訊——而是正在追蹤一條活躍的侵害連鎖鏈。

從實時分流到事後追溯取證

橫跨多個協定、裝置和子網，橫向移動是一個隨著時間推移而逐步展開的漸進式序列。由於威脅份子利用標準的管理工具來隱匿行蹤，將其逮獲需要深度且持續性的網路可視性，以對映出警報觸發前的行為以及下游的活動軌跡。

此可視性在活躍事件受控後很久依然具備極高價值。維持長期的網路後設資料儲存庫，允許資安團隊在事件發生數月後執行追溯性分析。此歷史記錄確保您的企業能夠滿懷信心地執行深度的威脅獵捕、滿足法規遵循審計，並驗證外洩破口已被完全封殺。

關於 runZero
runZero 是一種網路發現和資產庫存解決方案，由 Metasploit 的創建者 HD Moore 於 2018 年創立。 HD 設想了一種現代主動發現解決方案，無需憑證即可找到和識別網路上的所有內容。作為一名安全研究員和滲透測試人員，他經常採用良性的方式來獲取資訊洩漏並將它們拼湊起來以建立設備配置文件。最終，這項工作促使他利用應用研究和為安全和滲透測試開發的發現技術來創建 runZero。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

runZero 2026

漏洞利用速度威脅：為什麼基於特徵碼的漏洞掃描會失敗

弱點修補窗口的全面崩潰

AI 加速的漏洞利用如何將傳統特徵碼掃描器遠遠甩在後頭

現實世界的殘酷真相： Cogent 發布的 2026 年第二季《偵測間隙報告》（Detection Gap Report）證實了防禦維運上的結構性斷裂：攻擊者的漏洞利用（Exploit）程式碼開發速度，已正式超越了傳統、依賴特徵碼之弱點掃描器的更新管線。保障企業環境的安全，現在必須從「事後追溯型掃描」轉向「持續性資產曝險管理」。

偵測間隙的數學現實

在過去，企業 IT 團隊還能仰賴一個相對可靠的維運窗口。在 2025 年初，防禦者在弱點披露到野外出現實際攻擊利用之間，平均大約有四個月的緩衝期。這段安全容忍時間讓資安廠商得以建構偵測特徵碼（Signatures）、部署目錄更新，並讓企業有時間執行網路掃描以清理作用中的積壓弱點。然而，那段寬限期現在已徹底煙消雲散。

為了量化這場崩潰，Cogent 分析了 2025 年 1 月至 2026 年 4 月期間發布的 69,159 個 CVE 弱點。其研究人員針對每個弱點繪製出三個精確的時間點：發布日期、活躍漏洞利用程式碼出現日期，以及傳統掃描器廠商（包括 Tenable、Qualys 和 Rapid7）交付對應掃描特徵碼的日期。

55.7%

的關鍵弱點，從頭到尾都沒有獲得任何掃描器特徵碼

62.0%

已被涵蓋的弱點，在掃描器交付特徵碼「之前」，野外就已經流傳著活躍的攻擊利用

83.2%

的已知關鍵風險，在掃描器支援上線前，完全處於不設防狀態或已被漏洞利用

「在超過五分之四的關鍵弱點中，掃描器的涵蓋進度不是落後於漏洞利用，就是完全缺席。」

為什麼傳統掃描器在 AI 驅動的攻擊路徑前潰不成軍

促成此範式轉變的核心催化劑，在於威脅份子已廣泛使用自動化、AI 輔助的漏洞利用工程技術。這種自動化將弱點在初始披露後被武器化（Weaponized）的時間線，壓縮到了短短數小時甚至數分鐘之內。

此外，傳統工具也受限於其狹隘的涵蓋範疇。雖然針對受支援弱點發布特徵碼的中位數周轉時間為 2.7 天，但傳統平台幾乎將焦點完全鎖定在主流的企業軟體套件上。這在企業網路中製造了巨大的防禦盲區，導致邊緣路由器、IoT 設備以及特定開源程式庫等一長串未受監控的基礎設施，完全暴露在毫無安全防護的風險之中。

範式轉變：從主動探測到預先計算的資產查詢

由於反應式、依賴特徵碼的網絡主動探測已無法跟上現代漏洞利用的速度，策略轉型勢在必行。企業的生存關鍵，取決於維持一個動態、單一事實來源的曝險管理系統，將特徵碼徹底從方程式中移除。

這一點正是 runZero 的核心工程設計概念。傳統掃描器必須抱持著特定 CVE 的思維，在網路上主動推送目標探測封包以驗證弱點是否存在；而 runZero 的運作邏輯正好相反：透過建立一套極度精準、持續即時更新的全網路資產盤點資產庫，每當有嶄新的零日漏洞爆發時，您完全不需要執行緊急的網路重新掃描——您只需要直接查詢手中現有的完整數據矩陣即可。

網路防禦哲學的比較

防禦能力	傳統弱點掃描平台	runZero 的處理方法
零日漏洞回應時間線	耗費數天或數週，等待廠商進行專門的特徵碼工程開發。	即時；在威脅披露的當天，即可直接產生資產查詢指令。
網路資源佔用與影響	需要執行高負載、具破壞性的網路掃描，以核實單一 CVE 的存在。	針對預先存在、實時更新的資產盤點資料，執行被動或免認證的查詢。
閘道器下層基礎設施	追蹤至協定閘道器的主要 IP 位址後便停止。	深入探索設備背板（例如 Modbus、BACnet），揭示所有隱藏在下游的硬體風險。

持續性認證與風險優先順序評級

當緊急的零日漏洞發生時，runZero 的研究團隊會第一時間識別出受影響硬體、軟體或韌體獨特的結構特徵與數位指紋。此資訊會直接推送到您的主控台，轉化為即時的資產查詢條件。資安團隊能在幾秒鐘內搜尋現有的環境數據，精確指出該脆弱軟體或組件究竟位於何處、由哪個業務部門管轄，以及它是否直接面向公網。

這種方法將防禦維運從過去「這台機器是否套用了這個特定的 CVE 特徵碼？」這種疲於奔命、無止境的反應式循環中解放出來，並將焦點轉向一個主動、具戰略意義的問題：「有哪些是攻擊者可觸及的曝險？而攻擊者又會如何濫用它們？」

隨著 4.9 版本的發布，runZero 引入了進階的攻擊路徑對映（Attack path mapping）。它能精確繪製出攻擊者用來入侵您高價值資產的最低阻力路徑，在漏洞利用程式碼全面擴散之前，瞬間暴露網路隔離破口與預期之外的旁路路由。藉由將深度指紋識別與持續性曝險追蹤相結合，防禦者在原生層面就能直接瓦解 AI 加速的潛在威脅。

關於 runZero
runZero 是一種網路發現和資產庫存解決方案，由 Metasploit 的創建者 HD Moore 於 2018 年創立。 HD 設想了一種現代主動發現解決方案，無需憑證即可找到和識別網路上的所有內容。作為一名安全研究員和滲透測試人員，他經常採用良性的方式來獲取資訊洩漏並將它們拼湊起來以建立設備配置文件。最終，這項工作促使他利用應用研究和為安全和滲透測試開發的發現技術來創建 runZero。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

runZero 2026

策略分析：解讀 CISA BOD 26-04 及漏洞生命週期管理的轉變

威脅修復範式的轉變

解讀 CISA 限制性維運指令（BOD）26-04 與全新基於風險的 SLA 授權

戰略簡報： 美國網路安全暨基礎設施安全局（CISA）已正式發布限制性維運指令（Binding Operational Directive，BOD）26-04，確立了聯邦漏洞管理的根本性轉型。此指令告別了過往標準、單一的修補程式週期，轉而引入一套由真實世界曝險動態與攻擊者價值指標共同決定的「分級修復框架」。對於企業安全架構師而言，這標誌著任意指定修復期限的時代已終結，情境驅動的漏洞分流時代正式開啟。

透過基於風險的優先級別判定將 KEV 目錄規範化

過去，每當一個安全缺陷進入 CISA 的「已知遭利用漏洞」（KEV）目錄時，聯邦民事機構通常會在統一的修復窗口內運作（通常跨越兩到三週）。有時，這些截止日期會在缺乏透明度的情況下縮短至僅 24 到 72 小時，導致資安團隊被迫在缺乏清晰情境的情況下，陷入疲於奔命的被動救火狀態。

BOD 26-04 透過將其背後的優先級別判定邏輯規範化，解決了這項系統性摩擦。截止日期不再一成不變。相反地，它們是根據兩個核心變數動態生成的：外部可達性（Public Reachability） 以及 該目標對對手的戰略價值（Attacker Value）。這一轉變使漏洞管理與真正的「基於風險的治理」相契合，承認了並非所有活躍的漏洞利用都具備對等的損害範圍。

將「特定利益關係人漏洞分類」（SSVC）標準化

該指令將其維運分流的核心骨幹完全錨定在「特定利益關係人漏洞分類」（Stakeholder-Specific Vulnerability Categorization，SSVC）上，正式取代了傳統的評分方法論。儘管行業長期依賴「通用漏洞評分系統」（CVSS）作為基準指標，但 CVSS 缺乏有效執行企業級分流所需的在地化情境。

SSVC 透過將組織的特定任務、架構和威脅曝險直接納入修復決策樹，解決了這項結構性限制。此框架引導團隊跨越抽象的數位風險評分，將工程資源優先投入到直接影響業務連續性與運作穩定性的關鍵缺陷上。

激進修補時程的時代

企業的修補窗口正經歷劇烈的壓縮。在全新 CISA 授權下，針對高優先級別的 KEV 項目已確立了 3 天修復窗口 的決定性標準，而將 14 天留作較低風險曝險的外部極限基準。

修復窗口	維運嚴重性情境	架構衝擊
急性（3 天 SLA）	已證實遭遇威脅且對攻擊者極具利用價值的公開曝險資產。	需要自動化部署迴圈與高速度事件編排，才能在複雜的網路環境中按時完工。
標準（14 天 SLA）	橫向移動仍受次級控制措施阻截的內部或隔離資產。	代表分散式基礎設施內常態性修補週期的外部臨界線。

在分散的聯屬聯邦民事網路中實現 72 小時的週轉時間，代表著一項巨大的維運挑戰。然而，隨著威脅地景轉向自主、AI 驅動的漏洞利用管線，這種反應速度已是不可或缺的維運必然。雖然目前只有 31 個 KEV 項目帶有這種激進的 3 天 SLA，但隨著 CISA 深入加大這些新優先級別判定標準的部署，資安主管必須預期此類高急迫性項目的數量將迎來快速增長。

重新定義公開曝險的防禦邊界

BOD 26-04 的實際落地，在工程領域引發了關於「何謂技術上的公開曝險資產」的重大辯論。該指令明文規定，資產曝險狀態的轉變會自動觸發其修復 SLA 的相應變更——但要落實此規則，必須引導處理微妙的架構情境。

「試想一個備受矚目的防火牆零日漏洞，該漏洞導致設備失效並全面開放（Fail open）。如果野外尚未出現活躍漏洞利用的明確證據，該硬體並未消失或斷開連線，然而其底層的脆弱性已發生根本性改變。各團隊在定義、解讀和捍衛這些曝險狀態時的分歧，將直接影響合規的成敗與真實世界的安全結果。」

使用 runZero 落實攻擊面可視性維運

隨著漏洞發現與活躍的機器速度漏洞利用之間的空窗期持續塌陷，全面的攻擊面可視性已不再是一項可有可無的合規檢查清單，而是企業生存的核心要求。組織無法防禦其無法準確發現的資產。

持續性資產發現： 無需依賴脆弱的網路代理程式，即可識別橫跨雲端、地端及遠端環境中的每項活躍資源。
即時曝險追蹤： 透過程式化隔離可公開存取的資產，並對映外部曝險向量，以滿足新興的監格授權。
情境驅動型修復： 將資產情資與風險數據相統一，支援符合 SSVC 規範的分流，並在最關鍵的地方加速修補速度。

加固您的資產可視性，並為 BOD 26-04 的嚴格要求做好準備。歡迎立即註冊 runZero 免費試用，保障您的外部數位足跡安全。

關於 runZero
runZero 是一種網路發現和資產庫存解決方案，由 Metasploit 的創建者 HD Moore 於 2018 年創立。 HD 設想了一種現代主動發現解決方案，無需憑證即可找到和識別網路上的所有內容。作為一名安全研究員和滲透測試人員，他經常採用良性的方式來獲取資訊洩漏並將它們拼湊起來以建立設備配置文件。最終，這項工作促使他利用應用研究和為安全和滲透測試開發的發現技術來創建 runZero。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

runZero 2026

戰略分析：防禦自主代理型對手

代理型威脅地景（The Agentic Threat Landscape）

在機器速度的 AI 漏洞利用時代落實防禦架構

安全助手的幻覺：木馬化的生產力向量

為了盲目追求軟體開發速度的最大化，現代企業已將大型語言模型（LLM）代理人及第三方 AI 封裝（Wrappers）嵌入其網路中核心的層級。企業組織已賦予這些工具對程式碼庫的程序化寫入存取權，並使其與內部 API 深度整合。

這種廣泛的採用創造了不對稱的漏洞。開發人員用來在數秒內重構程式碼的完全相同的 AI 能力，正被代理型攻擊架構所槓桿，用以在機器速度下分析邏輯缺陷。這些自動化對手能趕在人類分析師開始進行基本的事件分流（Triage）之前，識別曝險、打造客製化漏洞利用程式，並完成網路侵害。我們在工作流中獲得的敏捷性，如今正被對手用來解構我們的防線。

「當傳統 SIEM 觸發警報時，攻擊型 AI 代理人早已完成了初始存取、提升權限、在網路中進行橫向移動、外洩敏感資料，並清除目標事件日誌——完全沒有留下任何傳統的數位鑑識足跡。」

靜態漏洞編目編制的過時

數十年來，企業的修補與回應工作流嚴重依賴公開的記帳登記庫，例如 CVE 計畫、CISA 的 KEV 目錄以及漏洞利用預測評分系統（EPSS）。資安團隊過往習慣尋找已知的特徵碼與記錄在案的威脅模式。

自主 AI 營運使這種被動式模型走向過時。由於 AI 驅動的侵害具有自生性、自我生成且高度量身定制的特點，它們在功能上轉瞬即逝（Ephemeral）。攻擊會即時突變，其移動速度之快，根本無法被公開資料庫所索引。當一個入侵特徵碼可以在單一毫秒的生命週期內被生成並丟棄時，資安團隊將再也無法保護他們無法主動驗證的資產。

IT/OT 融合陷阱

隨著資訊技術（IT）與營運技術（OT）持續融合，代理型漏洞利用的危險性被進一步放大。許多工業營運依舊依賴「隔離幻覺（Segmentation Illusion）」——即盲目假設攸關任務成敗的實體資產已在防火牆後方安全地實現了實體隔離（Air-gapped）。

在統一的多協定環境中，攻擊型 AI 代理人僅將傳統的網路隔離視為微不足道的設計缺陷。橫向移動變成了一種自動化的反射動作：

跨越邊界： AI 識別出單一的多介面設備（Multi-homed Device），例如將企業 Wi-Fi 與工廠區域網路（LAN）鏈結起來的技術人員筆記型電腦，並在幾毫秒內跨越該屏障。
利用本質不安全的協定： 一旦進入工業控制系統（ICS）層，對手就會將 Modbus、BACnet 和 S7comm 等傳統協定視為毫無阻礙的高速公路。
實體衝擊： 源自 IT 的侵害會以機器速度連鎖反應至實體基礎設施中，將標準的軟體資料外洩直接轉化為即時的生產線停工或安全閥失效。這是狼從螢幕走入實體世界的具體威脅。

鞏守狩獵場：runZero 4.9 資產情資

代理型對手完全在您的資訊差距中茁壯——也就是您假設的網路架構與您實際連接的庫存之間的盲區。為了生存，防禦戰略必須從被動式掃描轉變為在第二層（Layer 2）及以下進行主動式的環境加固。資產盤點不再只是合規勾選框，它定義了您狩獵場的邊界。

runZero 平台的設計旨在消除自主捕食者所利用的隱藏瓶頸（Choke Points）與多協定漏洞：

對映協定閘道之外的資產
在 runZero 4.9 中，我們推出了看透入門級閘道 IP 背後資產的能力。槓桿無可匹敵的專有 IT、IoT 和 OT 安全探測器庫，runZero 能夠行走於背板（Backplane）之上，原生查詢並揭開位於下游的數十台 PLC（可程式化邏輯控制器）和現場級設備的真面目。

免認證發現機制
代理型威脅模型會尋找未受管制的影子 IT 與惡意存取點來隱密突圍。runZero 的免認證發現利用先進的協定洞察，無需本地代理程式或憑證存取，即可定位並剖析每個連接的資產，確保盲區不會成為對手的主要進入點。

互動式攻擊路徑視覺化
跨越理論上的網路設計假設。我們的互動式攻擊路徑對映，能精確視覺化攻擊者如何利用多協定環境，透過意外的網路洩漏在您融合的 IT 與 OT 基礎設施中進行橫向移動。

數據驅動的修復優先級
相比於辨費營運週期去修復每一個傳統漏洞，runZero 透過識別漏洞與可行攻擊路徑相交的精確架構瓶頸，來為您的風險排列優先順序。與其漫無目的地修復所有漏洞，不如直接卡死防禦咽喉點。

在捕食者現身前識別它

儘早前沿 AI 的攻擊工具包尚未在更廣泛的網路上實現完全、自發的自主性，但認識到一個根本現實至關重要：這已經是這些自主模型能力最弱的時刻了。 對手正在持續從防禦邊界的盲區中學習，這隻捕食者正在進化。

企業組織在被自己未對映的基礎設施絆倒時，是無法跑贏機器速度的捕食者的。要立於不敗之地，必須對真實世界的攻擊面擁有絕對的可視性。

使用 runZero 主宰您的攻擊面

在漏洞利用程式落地之前，對映每個資產、揭露隱藏的協定曝險、驗證您的網路隔離，並關閉戰術瓶頸。面對 AI 威脅，防禦者同樣能立於不敗之地。

關於 runZero
runZero 是一種網路發現和資產庫存解決方案，由 Metasploit 的創建者 HD Moore 於 2018 年創立。 HD 設想了一種現代主動發現解決方案，無需憑證即可找到和識別網路上的所有內容。作為一名安全研究員和滲透測試人員，他經常採用良性的方式來獲取資訊洩漏並將它們拼湊起來以建立設備配置文件。最終，這項工作促使他利用應用研究和為安全和滲透測試開發的發現技術來創建 runZero。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

runZero 2026

LLM 具雙重用途，那就把它用起來吧！

營運量暴增

AI 增強型威脅獵捕使自動化漏洞揭露通報大量湧入收件佇列。

對稱式防禦

防禦者必須部署 LLM，以機器速度實現自動化的分流、驗證與程式碼修復。

漏洞獎金的轉變

研究人員必須從單純尋找錯誤，轉向封裝完整的修補程式與入侵指標（IOC）。

高階概述： 產品安全事件回應團隊（PSIRT）與 CVE 政策協調員正迎來前所未有的營運瓶頸。生成式 AI 的廣泛應用使漏洞發現走向商品化，導致通報量急劇飆升。由於大型語言模型（LLM）在本質上屬於「雙重用途（Dual-Use）」技術，組織必須積極將其整合至防禦工作流中，以自動化從收件到緩解的完整管線。

漏洞激增的總體軌跡

根據來自 CVEDetails 的歷史基準指標，已發布與保留的 CVE 數量十多年來持續呈 uninterrupted 的上升趨勢。至關重要的是，這種陡峭的軌跡早在自主 AI 代理人進入該領域之前就已確立。如今，隨著 AI 大幅加速漏洞的發現與通報率，治理漏洞管理的基礎設施正面臨迫在眉睫的規模化危機。

這一挑戰同時也帶來了將 CVE 從保留到發布之管線進行現代化的契機。多個跨產業工作小組目前正在建構自動化框架，以實現更快、更有效的漏洞揭露生命週期。值得注意的是，CNA 研究工作小組已針對此範式發布了主動徵求意見（RFI），公眾評論將開放至 2026 年 6 月 5 日。

「建立強韌的防禦需要程序化的路由機制。在基準層面上，產品所有者應普遍在根網域中部署結構化的 .well-known/security.txt 檔案。這種簡單的機制能引導人類研究人員與自動化代理人走向指定的接收管道，防止有效的漏洞通報迷失在公開的客戶支援佇列中。」

對稱式分流：以自動化之火對抗自動化之火

防禦者無法再以人類的速度去驗證與修復 AI 步伐的資安通報。為了在這一波衝擊中倖存，接收管線必須槓桿與外部研究人員完全相同的技術力量乘數。LLM 極其擅長模式匹配與上下文綜合分析，這使其成為現代支援架構中處理警報分流階段的高效過濾器。

當整合進接收管線後，LLM 可以立即針對現有的遙測數據分析新進報告，以判斷其是否為全新漏洞，從而精準篩選掉由常見掃描工具重複產生的垃圾報告。一旦通過驗證，軟體安全團隊便能利用 LLM 快速起草局部程式碼修復，並跨整個程式碼庫進行交叉比對，找出隱藏在 legacy 程式碼中其他地方的相同潛在漏洞變體。

漏洞漏洞獎金交付物的演進

隨著 AI 工具降低了安全研究的准入門檻，單純的漏洞報告正在貶值為大宗商品。為了保持競爭力並最大化獲取獎金，頂尖的漏洞獵人必須提升其交付報告的品質，透過提供高度結構化的封存套件建立差異化優勢，其中應包含：

驗證過的攻擊向量： 經過嚴格審計的概念驗證（PoC），並剔除所有 AI 幻覺與不切實際的預設前提。
程式化修補程式： 產出已由 LLM 輔助優化、可供工程團隊直接審查的程式碼修復，以加速廠商的修復週期。
入侵指標（IOC）： 提供明確的架構特徵與行為日誌，向防禦者展示如何在野外偵測該漏洞是否遭到實際利用。

工程現實 vs. 絕望式提示詞

當利用 LLM 進行防禦性程式碼生成或威脅分析時，安全團隊必須謹記，這些模型在底層本質上是「機率性（Probabilistic）」的，而非「決定性（Mechanistic）」的。依賴絕望式提示詞（Desperation Prompting）策略——例如在 prompt 末尾強加「且絕對不能犯錯」——並無法改變神經網路的底層數學現實。核心的成功關鍵在於精準的情境過濾、沙箱化的運行驗證，以及持續的人機協同審查機制。

關於 runZero
runZero 是一種網路發現和資產庫存解決方案，由 Metasploit 的創建者 HD Moore 於 2018 年創立。 HD 設想了一種現代主動發現解決方案，無需憑證即可找到和識別網路上的所有內容。作為一名安全研究員和滲透測試人員，他經常採用良性的方式來獲取資訊洩漏並將它們拼湊起來以建立設備配置文件。最終，這項工作促使他利用應用研究和為安全和滲透測試開發的發現技術來創建 runZero。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

runZero 2026