Cal.com 今日宣布，將其核心程式碼從開源轉向閉源。其執行長 Bailey Pumfleet 提供的理由是，AI 已大規模自動化漏洞發現，使得程式碼掃描和利用的成本「接近零」。他們認為，在這個新世界裡，「透明度即是暴露」。
在 Strix，我們建構自主 AI 安全代理。我們本身也是一個開源專案，最近已獲得超過 24,000 個星標，我們的框架每天處理超過 150 億個 LLM token 來尋找軟體漏洞。在許多方面，我們的平台正是 Cal.com 所擔憂的技術。
我們對 Cal.com 的團隊懷有極大的敬意。在過去幾週，我們實際上一直在與他們密切合作，利用 Strix 來負責任地揭露我們在其平台上發現的漏洞。他們的工程團隊反應迅速、專業，並且真正致力於保護他們的用戶。我們親身了解，這次轉向閉源是由於他們深切希望確保社群安全。為了遵守我們的負責任揭露時程，我們在此不討論那些尚未修補的錯誤細節。
我們同意他們的論點：AI 已從根本上改變了安全格局。但我們根本不同意他們的結論。
將程式碼閉源並非解決 AI 驅動安全威脅的辦法。
以下是為何從開源退縮無法保護您免受 AI 駭客侵害的原因。
閉源的假設是攻擊者需要閱讀您的程式碼才能利用它。這對於靜態分析工具來說可能是對的，但現代自主 AI 代理並非如此運作。
像 Strix 這樣的工具擅長黑箱和灰箱測試。它們動態地與即時端點互動，操縱瀏覽器狀態，分析網路流量，並在無需存取原始碼庫的情況下發現複雜的業務邏輯缺陷。
閉鎖您的程式碼並不能阻止 AI 探測您的 API 或在您的 Webhook 中找到授權繞過。它只是移除了對您程式碼庫的良好視角，同時讓您的攻擊面完全暴露給不良視角。
當程式碼閉鎖時，它將嚴重依賴內部安全團隊和定期的手動滲透測試。但正如 Cal.com 正確指出的，攻擊者現在擁有無限、不知疲倦的 AI 實習生，以接近零的成本 24/7 探測漏洞。
如果您隱藏您的程式碼，您就是在賭您的內部團隊能夠比外部的自動化 AI 代理群更快地發現和修復缺陷。歷史上，透過隱匿來實現安全總是失敗的。面對 AI，它將以指數級的速度更快地失敗。
Cal.com 說得對，軟體開發的吞吐量已經超越了傳統安全。程式碼的發布速度比人類安全工程師審查的速度更快。
但答案不是隱藏程式碼。答案是將 AI 防禦者直接整合到開發生命週期中。如果 AI 帶來了接近零成本的利用，那麼防禦也必須是接近零成本的持續驗證。
安全測試必須成為 CI/CD 管道的自動化、不可或缺的一部分。當開發人員開啟一個 pull request 時，AI 代理應該立即嘗試利用它。當基礎設施發生變化時，AI 應該自主驗證新的攻擊面。您不是透過關閉燈光來擊敗自動化攻擊者；您是透過在內部運行更好的自動化來擊敗他們。
僅僅依靠「眾多人類的目光」來讓錯誤變淺的時代可能正在結束。但開源並未死亡。
我們將 Strix 保持開源，因為我們相信透明度使我們更強大。用於保護下一代軟體的工具需要像用於攻擊它的工具一樣易於取得。隱藏程式碼無法阻止 AI 駭客，但賦予開發人員他們自己的自主安全代理則有可能。
如果您的團隊想親眼看看持續的 AI 驅動安全測試是什麼樣子，請免費試用 Strix。