生成式 AI 確實很能打，對吧？寫程式、看原始碼、掃漏洞，幾乎無所不能。但你有沒有想過，如果讓 AI 獨立去驗證一套銀行的核心交易系統，它會不會把「正常設計」當成漏洞，反而放過真正致命的商業邏輯缺陷？這不是假設題，而是 DEVCORE 執行長翁浩正觀察到的真實困境。
AI 進入資安領域的速度比我們想像中快，但也因此，一個尖銳的問題浮上檯面：AI 真的能取代那些年薪百萬的紅隊與白帽駭客嗎？ 答案短期之內是否定的，而且理由跟算力或演算法無關，而是卡在三個非常根本的限制上。
現象觀察：AI 上工的第一天，就卡在「看不懂」公司到底在幹嘛
把企業自行開發的龐大原始碼丟給 AI 分析，第一個悲劇就是「斷片」。翁浩正點出，大型語言模型就算能一次吃下幾萬行程式碼，只要系統架構稍微複雜一點，模組之間怎麼互動、資料怎麼流動，AI 很快就會迷失方向。白話來說，它像一個剛報到的菜鳥工程師，手上只有原始碼，沒有系統設計文件，也沒有同事可以問。
這種「看不懂」的後果很具體：該抓的漏洞沒抓到（漏報），不該叫的卻亂叫（誤報）。對資安團隊來說，誤報不是「至少 AI 有認真工作」的問題，而是最燒錢的惡夢。因為只要 AI 喊一聲「這裡有漏洞」，企業就得派出真人工程師和資安人員，架測試環境、重新驗證，時間跟人力成本直接往上噴。說到底，AI 並沒有減少工作，反而可能製造出更多「確認 AI 有沒有搞錯」的額外工作。
從產業面來看，AI 誤報的成本效應其實很弔詭。大部分企業導入資安 AI 的第一個念頭是「省錢」，但實際上，初期因為誤判導致的驗證成本，反而可能讓資安團隊更累。這就像請了一個過度熱心的助理，每封郵件都標成急件，最後主管得花更多時間確認哪一封才是真正重要的。
原因剖析：兩大壞習慣，讓 AI 比你想的還好騙
AI 的第二個罩門，來自一個看似無害的習慣：過度相信開發者留下的程式碼註解。資安專家都知道，註解這種東西，往往是程式碼當中最不可靠的部分之一。開發者可能三年前寫下「這裡沒有漏洞，刻意設計」，後來程式改了但註解沒改；更麻煩的是，在安全測試的情境下，甚至可能有人故意留下誤導性的文字。AI 看到註解就當作聖旨，但人類駭客會怎麼做？他們會直接跑一遍程式，看執行結果，而不是相信開發者說了什麼。
第三個，也是最致命的一點：AI 無法理解「為什麼要這樣設計」。它可以追出程式從 A 走到 B，再從 B 走到 C，但它永遠搞不懂，為什麼開發者要繞過 D 直接走 E。這種對「設計目的」與「商業邏輯」的無感，讓 AI 在面對像會員升級、多重優惠疊加、退款流程這種需要情境判斷的功能時，幾乎是瞎子摸象。
舉個實際例子：一個電商平台的會員系統，單看每一段程式碼都寫得漂漂亮亮，但當「會員等級升級」跟「紅利點數兌換」兩個功能串在一起，就可能出現「先升級再兌換」跟「先兌換再升級」之間的權限繞過。這種漏洞不是語法錯誤，是邏輯缺口。AI 能看懂語法，但它看不懂「生意是怎麼做的」。
影響評估：當 AI 還在看說明書，人類已經在拆房子了
翁浩正點出了一個關鍵差距：AI 能理解「程式寫了什麼」，但真正頂尖的資安人員，理解的是「當初為什麼這樣設計」。這之間的差距，就是紅隊演練中，能不能找到「意料之外」攻擊路徑的分水嶺。
說得更直接一點，AI 的強項是「按照已知的劇本找問題」，人類的強項是「發明從來沒有人想過的劇本」。這也是為什麼，雖然 AI 已經能自動化盤點攻擊面、比對已知漏洞、甚至生成初步測試報告，但在決定「該打哪一台主機」、「從哪個入口摸進去」、「什麼時候該安靜撤退」這類需要戰略判斷的時刻，仍然得靠人類的直覺與經驗。
趨勢預測：AI 不會搶走你的飯碗，但會重新定義你的工作內容
所以，資安人員該擔心失業嗎？我認為剛好相反。未來的資安團隊，會更像一個「特種部隊搭配無人機」的組合。AI 就是那台無人機，負責大範圍偵察、盤點公開資訊、重複性的掃描與測試，把大量瑣碎的調查工作吃完。但真正扣扳機、決定作戰策略、發掘新型漏洞的，還是那群經驗老到的紅隊與白帽駭客。
換句話說，AI 的出現不會讓資安專家失業，但會讓「只會做重複性工作的初階資安人員」面臨嚴峻的職涯考驗。未來企業要的是能夠「駕馭 AI 的資安策略家」，而不是只會下指令掃描的檢測員。
往後推演三年，我認為資安領域會出現一個明確的分流：懂得設計攻擊策略、具備商業邏輯判斷能力的高階人才，價值會更高；而停留在「執行指令」層級的初階工作，則會被 AI 大幅取代。這不是威脅，而是提醒——現在就開始培養自己的「為什麼」能力，別讓自己變成那個只會照表操課的人。
最後，與其焦慮「AI 會不會取代我」，不如問自己一個更實際的問題：如果 AI 明天就能做完你手上 80% 的重複性工作，你剩下的 20% 時間，能不能產出 AI 做不到的價值？如果答案還不明確，或許現在就是重新盤點自己「不可取代性」的最好時機。
本文改寫整理自公開新聞來源，原始報導由自由時報發布。
常見問題 FAQ
AI 資安檢測工具目前最大的技術瓶頸是什麼？
最大的瓶頸在於無法理解系統的整體商業邏輯與設計脈絡，導致容易產生誤報與漏報，特別是在多模組互動的複雜架構下，AI 常因失去前後關聯而做出錯誤判斷。
企業導入 AI 資安工具後，真的能降低人力成本嗎？
短期內不一定。因為 AI 產生的誤報需要工程師與資安人員額外花時間驗證，反而可能增加作業負擔，長期來看需待 AI 判斷精準度提升後，才能真正發揮節省人力的效益。
未來三年資安人員該培養哪些能力才不會被 AI 取代？
應優先培養攻擊策略設計、商業邏輯漏洞分析與新型攻擊手法研究等進階能力，同時學習如何有效駕馭 AI 工具，將自己定位為「策略制定者」而非「指令執行者」。
※ 此篇文章由 AI 改寫或生成，內容僅供參考，可能存在錯誤或不準確之處。
