雙地震：當信任崩潰和帝國轉移時
技術格局正在經歷重大變革。一方面，支撐我們企業的數位基礎設施面臨大量被積極利用的漏洞。同時，科技力量的地理格局正在發生變化，紐約市日益挑戰矽谷作為美國科技人才中心的長期主導地位[1]。這些發展並不是孤立的；它們標誌著一場深刻的系統性轉變，需要對信任、韌性和創新的未來進行根本性的重新評估。
漏洞攻擊：信任危機
近幾個月來，主要技術供應商面臨重大的安全挑戰。蘋果、微軟和思科等通常被視為數位基礎設施支柱的公司已經揭露了被積極利用的漏洞和嚴重缺陷。這些並不是理論上的風險，而是實際存在的風險。它們對全球組織構成直接威脅。
蘋果最近解決了多個被積極利用的漏洞。例如，「CVE-2023-42916」和「CVE-2023-42917」這兩個 WebKit 缺陷都在野外被積極利用，影響了 iPhone 和 iPad [2, 3]。這些漏洞強調，即使是嚴格控制的生態系統也容易受到複雜的攻擊。對於數百萬用戶來說，這意味著經常用於存取公司網路的個人設備可能成為直接的攻擊點。這種情況凸顯了傳統網路邊界的侵蝕，使每個員工的設備都成為攻擊者的潛在入口點。
微軟也面臨重大的安全挑戰。 「CVE-2023-36025」漏洞是 Windows Defender SmartScreen 繞過漏洞，已被積極利用，讓攻擊者可以繞過安全功能 [4, 5]。針對基礎安全產品的此類攻擊表明迫切需要在 Windows 環境中立即修補。 Microsoft 的定期修補程式星期二更新通常會解決數十個漏洞，反映了保護其龐大生態系統所需的持續努力[6]。人工智慧在漏洞發現中的使用越來越多，雖然有望識別缺陷，但也凸顯了安全問題的複雜性和數量不斷增加，即使是先進的工具也難以管理[7]。這表明漏洞發現和利用的速度可能超過傳統的人類主導的防禦工作。
網路基礎設施的主要供應商思科也發布了針對嚴重漏洞的公告。例如，「CVE-2023-20198」是 Cisco IOS XE Web UI 中的一個權限升級缺陷，已被積極利用，並被分配了 10.0 的 CVSS 分數 [8, 9]。完美的 CVSS 分數表示最大的嚴重性和潛在影響，通常具有直接的可用性。對於依賴思科基礎架構的組織來說，此類漏洞需要緊急修補和緩解，以防止廣泛的網路受到損害。
這些產業領導者普遍存在高嚴重性、被積極利用的漏洞，顯示維持對核心技術供應商的信任面臨系統性挑戰。它凸顯了一種普遍存在的威脅情勢，即使是資源充足的公司也難以領先老練的攻擊者。對於技術領導者來說，這種情況需要立即採取行動：優先考慮修補和緩解，並從根本上重新評估供應鏈安全和供應商依賴。這些並不是理論上的風險，而是實際存在的風險。它們是需要緊急關注的主動攻擊[10]。
帝國轉變：紐約的影響力與日俱增
在數位基礎設施面臨安全挑戰的同時，科技人才的地理分佈也正在發生重大轉變。紐約市最近被確定為北美頂級科技人才市場，超過灣區[11]。這標誌著數十年來矽谷無可爭議的人才、資本和創新中心的顯著轉變。
這種轉變對技術專業人士和組織有著深遠的影響：
- 人才獲取： 灣區的公司可能會經歷日益激烈的競爭和潛在的人才遷移，而總部位於紐約的公司可以獲得更深入、更多樣化的人才庫[11]。這就需要重新評估薪資、福利和公司文化。
- 職業流動性： 對於科技專業人士來說，紐約提供了一個引人注目的選擇，可能提供不同的工作與生活平衡、更廣泛的行業焦點（金融科技、媒體、時尚科技、人工智慧），以及與灣區的高費用相比不同的生活成本動態[11]。
- 創新中心： 技術權力的分散可以培養新的創新中心，從而可能挑戰矽谷有時特有的單一文化。創投和創業生態系統可能會越來越向東看[11]。
在獨特的科技文化和不斷上升的成本的推動下，灣區長期以來的主導地位正在受到挑戰。紐約的崛起顯示美國科技業的成熟，正在朝著更分散和潛在彈性的模式發展，而不是單一的地理中心。
相互關聯的挑戰：脆弱性、人才與人工智慧悖論
這兩個看似不同的發展——持續的安全挑戰和技術人才的地理轉移——是相互關聯的。它們揭示了更深層的系統脆弱性，並強調迫切需要採取新的技術領導方式。
目前的安全情勢需要卓越的人才水平：高技能的安全工程師、威脅獵手和事件回應人員，不僅能夠修補，而且能夠預測、創新和防禦複雜的、被積極利用的威脅。歷來吸引頂尖人才的傳統科技中心現在面臨著吸引力的轉變。一個關鍵問題是，像紐約這樣的新興技術中心是否能夠培養應對複雜漏洞所需的深厚、專業的安全工程人才，或者更廣泛的人才分佈是否會稀釋這些關鍵戰鬥所需的現有專業知識庫。
人工智慧的作用呈現出複雜的動態。雖然人工智慧驅動的系統越來越多地用於漏洞發現和防禦 [7]，但人工智慧本身也引入了新的攻擊面、複雜性以及對安全團隊的要求。旨在增強安全性的工具也有助於不斷變化的威脅情況。確保人工智慧驅動的世界的安全需要大量的專業人才——這些人才了解對抗性機器學習、即時注入以及大型語言模型的固有偏見和弱點，超越傳統的編碼技能。
事實證明，集中技術力量的傳統模式依賴於少數單一供應商來確保安全並將人才集中在昂貴的、孤立的中心。持續存在的漏洞挑戰表明，對主要供應商的隱含信任不再是足夠的安全策略。向紐約等中心的轉變代表著更廣泛的權力下放，如果管理得當，可以培養一個更具彈性和多樣化的科技生態系統。
對於技術領導者來說，訊息很明確：
- 重新評估供應商信任： 僅依靠供應商安全是不夠的。組織必須承擔潛在的妥協，建立分層防禦，並要求技術夥伴保持透明度。
- 優先考慮分散式人才獲取： 技術人才的競爭是全球性的、分散式的。超越傳統中心，投資遠距工作基礎設施，並實施多樣化的招募策略，以接觸頂尖的安全和工程人才。紐約的發展表明人才正在尋求新的環境和挑戰。
- 策略性整合人工智慧： 利用人工智慧的防禦能力，但批判性地了解其限制及其引入的新攻擊向量。投資於能夠保護人工智慧系統安全的團隊，而不僅僅是部署它們。
科技業正處於關鍵時刻。數位基礎設施面臨持續的威脅，傳統的技術力量中心正在不斷發展。適應、擁抱權力下放並積極投資於彈性系統和多元化人才的組織將能夠更好地應對這些變化，並為未來建立安全、創新的技術。
來源
[1] 世邦魏理仕，“2023 年科技人才評分”，2023 年 10 月。網址：https://www.cbre.com/insights/reports/scoring-tech-talent-2023 [2] Apple 支持，“關於 iOS 17.1.2 和 iPadOS 17.1.2 的安全內容”，2023 年 11 月 30 日。 URL：https://support.apple.com/en-us/HT213984 [3] CISA，“已知被利用的漏洞目錄”，CVE-2023-42916、CVE-2023-42917。網址：https://www.cisa.gov/known-exploited-vulnerability-catalog [4] Microsoft 安全回應中心，“CVE-2023-36025 | Windows Defender SmartScreen 安全功能繞過漏洞”，2023 年 11 月 14 日。 URL：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36025 [5] CISA，“已知被利用的漏洞目錄”，CVE-2023-36025。網址：https://www.cisa.gov/known-exploited-vulnerability-catalog [6] Microsoft 安全回應中心，“2023 年 11 月安全性更新發行說明”，2023 年 11 月 14 日。 URL：https://msrc.microsoft.com/update-guide/releaseNote/2023-11 [7] IBM Security，“人工智慧在網路安全中的作用：機會與挑戰”，2023 年。 URL：https://www.ibm.com/blogs/security/2023/08/the-role-of-ai-in-cybersecurity-opportunities-and-challenges/ [8] 思科 Talos Intelligence Group，“思科 IOS XE Web UI 權限升級漏洞”，2023 年 10 月。 URL：https://talosintelligence.com/vulnerability_reports/TALOS-2023-1857 [9] CISA，“已知被利用的漏洞目錄”，CVE-2023-20198。網址：https://www.cisa.gov/known-exploited-vulnerability-catalog [10] CISA，「已知被利用的漏洞目錄」。網址：https://www.cisa.gov/known-exploited-vulnerability-catalog [11] 彭博社，“紐約市現在是北美頂尖的科技人才市場”，2023 年 10 月 26 日。網址：https://www.bloomberg.com/news/articles/2023-10-26/new-york-city-is-now-the-top-tech-talent-market-in-north-america