重點整理
- AI 助手讓程式碼產出速度翻倍，機密外洩頻率也隨之飆升。
- 開發者並非變粗心，而是人工檢查速度已無法跟上 AI 產出。
- 手動撤銷外洩密碼平均需 40 天，依賴人力補救已不切實際。
- 企業應導入自動化 AI 攔截工具，在程式碼上傳前預防資安危機。
現在許多企業開始使用 AI 工具來加速工作，從寫文案到寫程式碼，AI 確實大幅提升了效率。但你知道嗎？當 AI 助手（AI agent，也就是能自動執行任務的 AI 程式）寫程式的速度越來越快，「機密資訊外洩」的風險也跟著悄悄翻倍。即使你不是工程師，公司網站後台、第三方服務串接的「系統密碼或 API 金鑰」（也就是文章中所說的 Secret），一旦因為 AI 的失誤而公開在網路上，都可能讓公司面臨嚴重的資安危機。
AI 讓產出翻倍，但「機密外洩」也跟著翻倍
根據 GitHub（全球最大的程式碼託管平台）的最新數據，現在平台上每 3 個程式碼更新請求中，就有 1 個是 AI 助手參與的。如果這個速度持續下去，未來兩年內，多數上傳的程式碼可能都是 AI 寫的，甚至人類根本不會仔細去讀每一行。
這帶來了一個嚴峻的問題：機密外洩的頻率正在飆升。數據顯示，平均每 2 秒鐘，就有一組新的系統密碼或金鑰被公開在程式碼中，而且這個數字每年都在翻倍。
很多人直覺認為「是不是工程師變粗心了？」但數據打臉了這個迷思。事實上，開發者比過去更不願意承擔風險，他們手動忽略系統警告的比例從 6.63% 降到了 3.93%。真正的問題是：AI 寫程式的速度太快，人工檢查的速度根本跟不上。當程式碼產出量翻倍，如果每一筆外洩都要靠「人」去發現並手動撤銷密碼（平均需要 40 天，甚至長達 90 天），公司的系統就會在很長一段時間內處於門戶大開的危險狀態。
靠「人」來補救太慢，必須用「自動化」來預防
既然叫工程師「小心一點」無法解決問題，我們就必須讓「保護機制」跟上「軟體開發」的速度。GitHub 提出了兩個關鍵概念：「預防靠算力，修復靠人力」。
在程式碼上傳到公開倉庫之前，系統必須自動攔截這些機密。GitHub 推出了「推送保護」（Push protection，在上傳前自動攔截的功能），現在每秒就能自動阻擋至少一組外洩的密碼。更重要的是，他們與微軟合作訓練了一個名為 ModernBERT 的 AI 分類器（一種能快速辨識資料特徵的 AI 模型）。這個 AI 模型能在 2 毫秒內判斷程式碼裡藏著哪些沒有固定格式的密碼，不僅速度極快，還能將成功攔截的機密數量翻倍。
這意味著，未來的資安防護不再是「等密碼洩漏了，再叫工程師去補救」，而是「在密碼被上傳前，AI 就自動把它擋下來」。這樣一來，企業就不需要隨著程式碼的增加，等比例增加資安人力。
崴米的建議
對於正在導入 AI 或建置數位系統的中小企業主，我們有以下兩點建議：
- 導入 AI 時，同步規劃自動化把關機制：AI 能大幅提升效率，但也可能因為設定錯誤產生漏洞。在將 AI 放入網站或內部工作流程時，請確保有相應的自動化檢查工具，而不是只依賴人工審查。你可以參考我們如何把 AI 放進你的網站與工作流程，協助你安全、穩定地整合 AI 應用。
- 定期健檢網站與系統，確保機密不外洩：無論是官網、電商後台還是內部系統，串接第三方服務時都會用到 API 金鑰等機密。上線後的日常維護與安全監控同樣重要。建議你定期進行免費網站健檢，了解目前網站的基本狀態與安全隱患。
