人工智慧與時間的競逐
漏洞數量更多、發現速度更快、被利用的時間也更早。
全球 CVE 數量激增
72,812
截至 2026 年 9 月為止公布的 CVE 數量，已比 2025 年全年多出 51%
縮短投入營運所需的時間
−7 天
2025 年的平均漏洞利用時間：目前攻擊平均會在修補程式發布之前就開始
加拿大稅務局（CRA）的期望
製造商必須分三個階段向 ENISA 及其國家 CSIRT 通報，且須在察覺漏洞遭利用後僅 24 小時內開始進行通報。
24小時
早期預警
首份警報，包含疑似原因及受影響國家
72小時
通知
該漏洞的詳細資訊、受影響的產品以及已採取的緩解措施
14d
最終報告
在修補程式發布後的 14 天內，須提供其嚴重性、影響範圍及矯正措施
準備好在 24 小時內提交報告了嗎？
為了趕上每個截止日期，您需要盡快獲得答案：
- 這些是真正的漏洞，而非僅僅是潛在的弱點嗎？
- 在您的產品中，這些功能是否能夠被存取並加以利用？
- 是否有已驗證的修復方案，或者能否迅速生成一個？
CRA 漏洞管理方面的缺口
根據《CRA》，您須對產品中的每項漏洞負責，無論該漏洞出現在您自身的程式碼、第三方元件或開源函式庫中。這些義務已由法律明文規定，而與此相關的工作量卻持續增加。
更多程式碼，更快的發布
由人工智慧驅動的開發意味著更多的程式碼、更多的依賴項，以及更短的發布週期。每次發布都會帶來新的第一方、第三方及開源元件，也意味著可能出現漏洞的風險隨之增加。
難以決定優先順序
若缺乏可利用性的證據，嚴重性分數便會成為排程的唯一依據。團隊將心力耗費在無關緊要的事上，而真正的風險卻被擱置一旁。
無風險證據
掃描工具會標示出數千項檢測結果，但很少能顯示某個漏洞是否可觸及、可被利用，以及是否與您的產品相關。
簡略的稽核軌跡
內部程式碼與外部元件通常由各自的工作流程管理，相關決策則分散在工單、聊天紀錄和試算表中。要在 24 小時或 72 小時內彙整出可追溯且符合稽核要求的證據，幾乎是不可能的。
內建於開發週期中的 AI 驅動漏洞修復功能
Keysight AI Analysis for CRA 是一項由人工智慧驅動的程式碼分析服務，具備漏洞管理功能，可自動化處理整個漏洞生命週期。此服務基於 Keysight 的資安專業知識，透過我們專有的 AI 驅動框架，能識別漏洞、測試其可被利用性、建議並驗證修復方案，並記錄每個步驟。
主要功能
智慧分流
對基於 SBOM 的 CVE 及 SAST 檢測結果進行分級處理，過濾掉誤報，並將可被利用的風險列為優先處理項目。
已驗證的修正方案
在沙盒環境中對每項修正進行建置、測試與驗證，以確認該漏洞已獲得解決。
可達性分析
顯示哪些漏洞實際上可從真實的生產環境入口點被觸及並加以利用。
CRA 證據
針對漏洞處理、協調披露、事件通報及合規性評估，建立可追溯且符合稽核要求的紀錄。
- 入職流程
- 初步評估
- AI 分析與驗證
- 結果回顧
- 回顧展
入職流程
您將分享您的原始碼儲存庫及環境詳細資訊。由於我們分析的是原始碼而非二進位檔，每項發現都會精確指向特定行號，而修正程式則以可直接合併的修補程式形式提供。
初步評估
在進行全面分析之前，是德科技會與您共同評估先決條件，並協助解決阻礙因素。
AI 分析與驗證
我們的框架會收集 SCA 資料並執行由人工智慧驅動的 SAST，接著啟動一個沙箱環境，用以測試可觸及性與可利用性，並驗證每個修補程式。
結果回顧
貴團隊與是德科技將共同審查調查結果、修補結果及補救建議。
回顧展
我們找出服務覆蓋範圍的缺口，並蒐集意見回饋，以供日後改進。
所有方案皆涵蓋第一方、第三方及開源程式碼，並整合於單一的統一 AI 工作流程中，且即將推出 CI/CD 管道整合功能。
您的 IP 地址始終屬於您
您的原始碼是您最寶貴的資產。我們正是以此態度來對待它。
- 在離線 AI 伺服器上執行專案，且不會將資料傳送至雲端
- 選擇符合各地區合規要求的 AI 模型
- 可選擇在 AI 雲端服務供應商上運行
- 未針對客戶資料進行培訓
常見問題
關於正在被積極利用的漏洞及嚴重事件的通報規定，將自 2026 年 9 月 11 日起生效。其餘要求，包括漏洞處理及軟體成分清單（SBOM），則將自 2027 年 12 月 11 日起生效。
不。AI 會建議修補程式，並在沙盒中進行驗證。關鍵修補程式在導入您的程式碼庫之前，必定會經過人工審查。
不。專案可以在離線 AI 伺服器上執行，且您的資料絕不會被用於訓練模型。
您已經清楚了解產品中哪些漏洞是可觸及且可被利用的，且每項發現都有可追溯的紀錄。當出現新的遭利用漏洞時，您便能迅速評估其影響，並附上證據進行通報。
調查結果將整合至您現有的工作流程中，例如以已排定優先順序的 Jira 票證或衝刺項目形式呈現。
以貴公司其中一款產品為例進行概念驗證。該流程遵循上述五個步驟，並以對結果的回顧作為結尾。