openSUSE Conference 2026 - LLMs: The good, the bad and the ugly from a security POV
三句話摘要
大型語言模型已成為普遍的安全威脅面，傳統防禦難以應對提示注入與過度授權，須從系統架構與組織文化重新思考安全防禦策略。 LLM 是雙面刃：解放了安全審查的潛能，卻同時放大了威脅面與攻擊複雜度，根本解決方案並不存在，唯有透過系統隔離與組織文化改變才能降低風險。 LLM 改變了安全工作的尺度：安全審查不再是瓶頸，反而是漏洞報告與修復成能量成為新的瓶頸，使用者無須具備技術背景也能靠自然語言指示 AI 完成過去困難的工作。
重點整理
重點- 1
LLM 改變了安全工作的尺度：安全審查不再是瓶頸，反而是漏洞報告與修復成能量成為新的瓶頸，使用者無須具備技術背景也能靠自然語言指示 AI 完成過去困難的工作。
- 2
提示注入是根本性問題：無法通過現有技術解決（目前最佳成果僅達 95% 防禦率），存在通用攻擊方式（universal prompt injection）、角色混淆等多種變種，模型甚至在重複詢問或上下文膨脹時防禦會減弱。
- 3
人工審查迷思並不能解決安全問題：將決策權交給人類審批在操作上無效，因為人類不會持續維持 100% 的審查專注度；與其依賴「人機迴圈」，不如承認這只是轉移法律責任，並非真正安全。
- 4
速度、能力、安全難以兼得：當前技術架構下只能選擇其中兩項，大多數企業選擇速度與能力並犧牲安全，真正的防禦仍需隔離、權限分離與最小權限原則。
實用技巧與重點
乾貨- 工具與模型
- Claude（被提及為程式碼審查與利用開發工具）
- 開源模型如 Hugging Face 可透過 abliteration 移除安全護欄
- 通用提示注入（universal prompt injection）可針對開源模型權重計算特定字串
- 具體問題
- Prompt Injection（最嚴重）
- Insecure Output Handling（不安全的輸出處理）
- Excessive Agency（過度授權）
- Over-reliance（過度依賴）
- 角色混淆攻擊（Role Confusion）：利用模型內的 tag 與 chain-of-thought 偽造身份
- 案例與數據
- curl 專案：漏洞報告數呈指數成長，最近宣布「Summer of Bliss」暫停接受漏洞報告
- Firefox：安全修復數從正常水準突增，已達難以管理的規模
- SUSE 產品安全團隊：分為反應端（事件處理）與主動端（發布前硬化）
- 防禦建議
- 最少權限原則、隔離、分段（isolation, segmentation, least privilege）
- 最低要求：容器化執行（user-level container with Linux confinement）
- 極端情況：虛擬機或獨立電腦
- 絕不在系統中直接執行 AI Agent（例如 Claude Code 直接在個人工作站運行）
- 考量威脅模型：若有人對 AI Agent 進行提示注入，它可能會讀取個人郵件或更改檔案
- 開源社區挑戰
- 需改變漏洞報告文化：向開源專案報告漏洞應同時提供補丁與協助緩解
- 供應鏈風險：隨著報告數爆炸，維護者可能因疲勞而放棄維護
結論
結論“LLM 是雙面刃：解放了安全審查的潛能，卻同時放大了威脅面與攻擊複雜度，根本解決方案並不存在，唯有透過系統隔離與組織文化改變才能降低風險。”
完整解析
詳細Johannes Sigitz 是 SUSE 安全工程師，其演講從兩個角度檢視 LLM 的衝擊。首先是機會：LLM 降低了安全審查的技術門檻，使非技術背景的人也能透過自然語言指示 AI 完成過去需專家處理的工作（如程式設計、架構設計）。同時，自動化安全掃描使漏洞檢測不再是組織瓶頸。但這造成另一個問題——漏洞報告爆炸，curl 與 Firefox 等成熟專案的安全修復數已難以負荷。
關鍵風險在於威脅模型破裂。傳統的加密安全假設被打破了——問題不在於技術是否堅固，而在於攻擊面突然變得巨大。每個連接到互聯網的系統都暴露在 LLM 攻擊之下，而攻擊者可將任何文本輸入都變成潛在的 prompt injection 載體。講者指出現有防禦都不完全：91% 的 prompt injection 防禦率在安全領域屬於失敗，因為防禦者無法重試，但攻擊者卻可以無限重試。更無奈的是，這個問題看起來在現有技術框架下根本無解。
講者強調最大的誤區是「人機迴圈」。許多企業寄望於讓人類審批 AI 的決策來保障安全，但這在實務上行不通。人類無法持續維持對重複任務的100%專注，而且面臨的往往是二選一（核准導致系統運作，拒絕造成問題），長期下來人類必然傾向核准。這不是安全措施，只是轉移法律責任。
真正可靠的防禦仍是老派的原則：最小權限、隔離、分段。如果 AI Agent 被限制在沙箱內、僅能執行特定操作，傷害是可控的。講者強烈反對在個人工作站直接執行 Claude Code 或類似工具，至少應該容器化，極端情況應考慮虛擬機或獨立電腦。他甚至半開玩笑地建議「移居山林無網路」作為終極防禦。
最後，講者提醒整個開源生態面臨危機。如果每個漏洞報告都要求補丁與協助，維護者可能因過載而放棄。這不只是技術問題，而是社會問題——現代社會基礎設施依賴軟體運行，無法像1990年代那樣當作玩樂項目隨意對待。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
