974 這個數字先被排好了：隱晦式安全的退場，是一套被重新設計的揭露介面

2026 年 9 月 14 日，Solidot 轉載了 The Register 的一篇報導，標題下得直接：AI 時代，隱晦式安全已死。這件事值得回頭再看一次，因為它談的其實是一種老派的設計假設，如何在新的工具環境裡整組失效。

先從一個具體的畫面看起。微軟在 9 月上旬的例行安全更新裡，修了 974 個 CVE 漏洞。這個數字本身就像一個版面元素：它被放在標題裡、被排在段落開頭，用來傳達「量」與「速度」。讀者不需要理解每一個漏洞的技術細節，光是四位數的計數，就已經完成了一次訊息設計。安全更新作為一種公開文件，它的說服力往往來自數字的排布，而 AI 輔助的漏洞搜尋，正在讓這些數字以前所未有的速度膨脹。

趨勢科技的 Dustin Childs 指出一個更有味道的細節：這波被修復的元件，多年來基本無人聞問。Telnet 客戶端、Windows RNDIS、NFS Portmapper、Link Layer Topology Discovery。這串名單讀起來像一張被遺忘元件的清點表。它們共同的設計邏輯，正是安全工程裡所謂的隱晦式安全：只要沒有人知道它在哪裡、它長什麼樣、它哪裡弱，它就是安全的。這套邏輯依賴的不是強度，是注意力稀缺。

藏起來的安全，依賴的是搜尋成本

隱晦式安全從來不是真正的防禦，它是一種成本轉嫁。設計者把弱點藏在不顯眼的地方，等於把發現弱點的成本推給攻擊者。在人工審計的年代，這個成本夠高：一個埋在古老協定客戶端裡的邊界條件錯誤，可能要一位研究員花上數週的逆向閱讀才會浮出來。很多老元件就這樣安全地待了很多年，不是因為它們堅固，而是因為沒有人抬頭看它。

AI 智慧體改變的正是這個搜尋成本。軟體供應商與獨立研究人員開始用智慧體在大規模程式碼裡掃描，那些「極其隱蔽且存在已久」的漏洞被成批翻出來。這不是防禦技術的進步讓舊邏輯失效，是搜尋技術的進步讓「藏」這個動作失去了原本的報酬。一個靠不被看見而成立的安全設計，遇上不知疲倦的觀看者，整個前提就塌了。

同一份報導裡還有另一半的對稱結構：攻擊者也在用 AI 對補丁做逆向工程，在數小時內寫出對應的漏洞利用。補丁發布與利用出現之間的窗口，被壓縮到以小時計。這意味著揭露與防禦變成同一場速度競賽的兩端，而過去那種「慢慢修、不用說太多」的節奏，已經跟不上版面更新的速度。

揭露文件，其實是一種信任介面

如果把視角從漏洞本身移到漏洞「如何被呈現」，會看到另一層設計課題。CVE 編號、嚴重度評分、受影響元件清單、修補時間，這一整套格式，本質上是一套讓公眾與維護者都能快速閱讀的介面。它與我們先前觀察過的微軟驅動簽名 SBOM 新規的信任介面屬於同一個家族：用檔案格式與命名規範，把信任變成可以被檢查的東西。

在隱晦式安全的年代，揭露文件的角色相對被動，它記錄已經發生的事。但在 AI 加速的年代，揭露本身變成攻防的前線。修了 974 個漏洞同時意味著，市場上剛剛公開了 974 份弱點說明書。維護者的補丁積壓、使用者的更新壓力、攻擊者的逆向時鐘，全部被同一份文件的發布觸發。揭露文件的排版與顆粒度，第一次真正影響了安全的實效。

這也解釋了為什麼報導裡「積壓」是個反覆出現的詞。找到漏洞的速度超過修復的速度，揭露介面的吞吐量就成了瓶頸。一套為人工節奏設計的揭露流程，被塞進機器節奏的供給，格式沒變，但流量變了幾個數量級。

設計假設的汰換

隱晦式安全的死亡，值得被讀成一個設計案例，而非單純的資安新聞。它示範了一件事：一個設計假設的壽命，取決於它所轉嫁的成本是否持續存在。窗戶插銷做得隱密，在小偷需要逐戶試探的時代有效；當有人能用望遠鏡一次掃過整條街，隱密本身就不再是防禦。

同樣的邏輯也適用於介面之外的世界。靠複雜度躲在使用者視野外 的安全機制、靠文件難讀而維持的合規流程、靠資訊不對稱撐起的信任，這些設計共同依賴「搜尋很貴」這個前提。AI 把搜尋變便宜之後，誠實的結構設計會比聰明的遮蔽更耐用，因為前者不依賴別人不看。

微軽那份 974 個 CVE 的更新清單，最終留下的觀察是：當觀看變得廉價而持續，設計能依靠的只剩被看見之後仍然站得住的東西。隱晦式安全不是被打敗的，它是被看穿的。