安全掃描一次送來 300 筆警示。最順手的做法，是從最高分往下處理。但假設排第一的是 9.8 分，出現在一個只在測試時使用、根本不會打包進正式服務的套件裡；排在第一百多名的 6.5 分，卻位於處理使用者上傳圖片的程式庫，就在公開網站的上傳功能後面，而且已經被列進「已知遭利用」的清單。照分數排隊，真正急的那一筆會被壓在清單中間好幾天。
掃描分數衡量的是漏洞本身有多嚴重，不是它在你的系統裡有多急。排序時應該依序問三件事：外面是否已經有人在利用它、你的服務實際會不會執行到那段程式、外部的輸入能不能送到那裡。AI 可以替每一筆警示整理這三項證據，但決定哪一筆可以關掉，仍要由人負責。
分數說的是「打中會多嚴重」，不是「會不會被打中」
大多數掃描工具給的分數來自 CVSS（通用漏洞評分系統），由國際資安事件應變組織 FIRST 維護。FIRST 的官方規格寫得很清楚：這個分數表示的是一個漏洞相對於其他漏洞的嚴重程度；要評估對自己組織的風險，還需要使用者在分數之外加上自己的情境。
換句話說，9.8 分說的是「如果被打中，後果很嚴重」，沒有說「你會被打中」。同一個漏洞，在不會被執行的測試套件裡，和在公開入口後面，急迫程度完全不同，分數卻一模一樣。
依序回答三個問題
一、外面是否已經有人在利用？ 美國網路安全暨基礎設施安全局（CISA）維護一份「已知遭利用漏洞目錄」（KEV），收錄已確認在真實攻擊中被利用的漏洞，並建議各組織把它當成排序修補的依據之一。出現在這份清單上的漏洞，不必等其他證據齊全才升級處理。
二、你的服務會不會執行到那段程式？ 有漏洞的套件出現在依賴清單裡，不代表服務執行時會用到有問題的函式。只在開發或測試階段使用的套件、沒有被呼叫的模組，執行路徑到不了，急迫度就低得多。這需要看程式碼和實際的執行紀錄，不能只看套件名單。
三、外部輸入能不能送到那裡？ 會被執行還不夠，還要看誰能把資料送進那段程式。公開網站的訪客、低權限帳號、上傳的檔案，都是外部輸入；只吃內部固定設定檔的程式，被利用的機會就小得多。
三個問題都答「是」的，排最前面。答不出來的，記成「待查證」，寫下由誰、用什麼方法、在什麼期限前查清楚，而不是當作「沒事」。要把某一筆往後放，也必須留下能重現的證據，例如程式碼位置或執行追蹤，不能只因為工具沒有回報更多資訊。
AI 整理證據，人決定關閉
AI 很適合做第一輪的整理：讀依賴清單、搜尋程式碼裡是否呼叫了有問題的函式、比對 KEV 清單、找出哪些入口會接收外部資料，然後替每一筆警示寫一張證據卡，把「工具說了什麼」「程式碼顯示什麼」「仍未確認什麼」分開。
但「這筆不會被執行到，可以關掉」是一個會被未來的程式變更推翻的判斷。關閉警示、降低處理層級，應由服務負責人確認後再做，並寫下重新檢查的條件，例如新增入口、改架構或升版時。至於排好順序之後，AI 產出的修補能不能直接上線，是另一個問題，參考〈AI 能寫出漏洞修補，能不能上線要看出事時退不退得回去〉。
三個問題比分數花時間
這三個問題比分數更貼近實際風險，但也更花時間。300 筆警示不可能每一筆都追執行路徑，所以先用 KEV 和「是否位於公開入口後方」做粗篩，再對留下來的少數幾筆深入查證。
CISA 另外發布過一套決策方法 SSVC，依照是否遭利用、技術影響、對任務的重要性等條件，把漏洞分成不同的處理層級，適合想把這套判斷正式寫進流程的團隊參考。容器映像檔的掃描警示特別多時，可以搭配〈AI 容器掃描工具自己也把線畫在這裡：機械修改可以自動，換基底映像要人決定〉。
試一次：從同一個服務挑五筆警示，刻意放進高分但可能不會執行的、分數普通卻在公開入口後的，以及列在 KEV 上的。用這三個問題重排一次，再和原本按分數排的順序對照，看看哪幾筆的位置變了。
AI 整理卡
我們的安全掃描送來一大批漏洞警示，我想照實際急迫程度排序，而不是只看分數。
判斷方法來自這篇文章：https://boosterminiclass.com/posts/ai-vulnerability-evidence-card-prioritization/
文章的看法是：掃描分數衡量漏洞本身有多嚴重，不是它在這個系統裡有多急。排序時依序問：外面是否已有人在利用（例如列在 CISA KEV）、服務實際會不會執行到那段程式、外部輸入能不能送到那裡。答不出來的記為待查證，不能當作沒事。
請只以唯讀方式查看我授權的程式碼、依賴清單、掃描報告與執行紀錄，不要修改檔案、設定或工單，也不要關閉任何警示。
1. 從掃描結果挑出最多五筆警示，每一筆列出：漏洞編號、套件與版本、掃描分數；
2. 逐筆回答三個問題，每一題附上直接證據（檔案路徑與行號、報告項目或你執行的唯讀命令與輸出）：是否在 KEV 上、服務是否會執行到有問題的程式、哪些外部輸入能送到那裡；
3. 把工具的說法、你從程式碼確認的事實、仍未確認的推論分開寫；
4. 依三個問題的答案重新排序，對照原本按分數的順序，說明哪幾筆變了、為什麼。
答不出來的一律寫「待查證」，並建議由誰、用什麼方法查。關閉警示、降低層級、修補與部署都留給負責人決定。
參考來源
- FIRST 官方規格：Common Vulnerability Scoring System v4.0 Specification Document — https://www.first.org/cvss/v4.0/specification-document（2023-11-01）
- CISA 官方目錄：Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [accessed: 2026-10-11]
- CISA：CISA Releases SSVC Methodology to Prioritize Vulnerabilities — https://www.cisa.gov/news-events/alerts/2022/11/10/cisa-releases-ssvc-methodology-prioritize-vulnerabilities（2022-11-10）
