2026-05-14 的 Tempest Security Daily 訊號高度集中：今日資安新聞被 Microsoft 推出的代號「MDASH」(Microsoft Defender for AI Security Hub) 多模型代理式安全系統幾乎包場——這套 AI 找漏洞系統一口氣在 Windows 找出 16 個未公開漏洞，其中 4 個是 critical 等級的 remote code execution，並全數納入本月 May Patch Tuesday 一次釋出。配套的另一條主訊號是 Patch Tuesday 本月的整體規模，三家獨立廠商統計從 120 個到 137 個 CVE 不等，呈現「AI-finder 進場後，月修補量來到史上高點」的新常態。第三條訊號是 Cycode 推出 Agentic Development Lifecycle Security，把 AI 寫程式的全段生命週期納入安全治理。本期以 11 則摘要彙整今日訊號。
主訊號 A：Microsoft 釋出 MDASH 多模型代理式安全系統，一次找出 16 個 Windows 新漏洞
Microsoft Security Blog 正式公開代號 MDASH (Microsoft Defender for AI Security Hub) 的多模型代理式(multi-model agentic) 安全系統，主打「AI-powered vulnerability discovery at hyper-scale」。MDASH 透過多個專長分工的 AI agent 協同分析 Windows codebase，本輪一次發現 16 個先前未公開的漏洞，並全部納入 5 月 Patch Tuesday 修補。Microsoft 將此定位為「以 AI 速度做防禦」的里程碑，意味著未來Windows、Office 等大型產品的漏洞挖掘將不再只仰賴外部研究員或內部紅隊，而是由 AI agent 持續掃描並進入 SDL 流程。原文：https://ift.tt/RnUKpo0
主訊號 A 配套：MDASH 找出的 4 個 critical RCE 集中在 TCP/IP 與網路堆疊
Help Net Security 進一步揭露 MDASH 此次找出的 4 個 critical 等級 remote code execution 漏洞所在位置：Windows kernel 的 TCP/IP networking stack 以及網際網路相關元件。這些屬於高暴露面的元件——TCP/IP stack 的 RCE 漏洞理論上只要主機暴露在網路上就有風險，傳統上是價值最高的漏洞類別之一。報導同時指出 Microsoft 加入了把 AI 模型用於自家大型 codebase 找漏洞的廠商行列。對企業而言，這 4 個 RCE 雖已隨 5 月 Patch Tuesday 釋出修補，但 TCP/IP 堆疊類漏洞通常是 attacker 武器化的優先目標，建議優先納入本月修補排程。原文：https://ift.tt/wyZVjxg
主訊號 A 視角：TheNewStack 認為這是 Windows 漏洞研究典範轉移
TheNewStack 把這次 MDASH 發布定義為「Windows 漏洞研究典範轉移的時刻」。文章指出，過去數十年，在 Windows 深處挖掘危險 bug 一直是少數頂尖人類研究員憑時間和經驗才能勝任的工作；而 5 月 2026 Patch Tuesday 之所以「靜悄悄地標誌一個改變的時刻」，是因為本月被修補的漏洞中有 16 個並非由人類發現，而是由 AI 找出。報導語氣相對 bullish，認為這只是 AI 找漏洞時代的開端，未來會有更多大型廠商跟進。對台灣的紅藍隊而言，這條訊號意味著「AI 找漏洞」正從研究議題快速轉成主流產品能力。原文：https://ift.tt/Mc6zQqv
主訊號 A 競合：MDASH 直接對標 OpenAI Daybreak，AI 安全工具進入競賽期
另一篇報導把 MDASH 放在 AI 安全工具市場的競合脈絡中觀察，指出 Microsoft 此次發布是「對 AI 安全領域日益激烈的競爭」做出回應，特別呼應 OpenAI 同期啟動的 Daybreak vulnerability validation initiative。短短一週內出現 OpenAI 與 Microsoft 兩家頂尖 AI 公司在「漏洞發現／驗證」議題上接連動作，意味著 AI 找漏洞已從個別 PoC 進入產品化競賽期。對藍隊而言，這也代表「AI vulnerability discovery」未來會是各家 EDR/MDR 廠商必選宣傳點，採購評估時應該開始要求供應商說明其 AI 找漏洞與驗證的具體方法。原文：https://ift.tt/qK7ZV8F
主訊號 A 補充：CSO Online 將此視為「漏洞被發現與修補方式」的重大轉折
CSO Online 報導 Microsoft 推出 AI 驅動的漏洞發掘系統並找出 16 個先前未知的 Windows 漏洞（含 4 個 critical RCE），並引用安全分析師說法稱其「可能標誌軟體漏洞被發現與修補方式的重大轉變」。這條報導與 TheNewStack、helpnetsecurity 三方互相印證，形成本期最強烈的主訊號——AI 找漏洞已經不再只是研究範疇，而是直接灌進 SDL/Patch Tuesday 釋出鏈。原文：https://ift.tt/zgFdnXN
主訊號 A 對比：Microsoft 與 Palo Alto Networks 各自把 AI 用在自家程式碼找漏洞
SecurityWeek 把 Microsoft 與 Palo Alto Networks 在同週的兩個獨立公告擺在一起報導：兩家公司都宣稱在自家 codebase 上動用 AI 模型找漏洞並取得「顯著成果」。文章提到 Claude Mythos 等先進 AI 模型已經在資安社群引發討論，反映出「廠商把 AI 用在自家原始碼」這件事正在從個別案例變成行業標配。對台灣的研發組織而言，這條訊號的可操作意義是：把 AI code review／靜態分析納入 SDL 已不只是先進團隊的選配，而是建議跟進的基本動作；採購靜態分析工具時，「具備 LLM agent 輔助」應列入加分項。原文：https://ift.tt/fojvTak
主訊號 B：May Patch Tuesday 修補 120 個 CVE，其中 17 個 critical
Infosecurity Magazine 整理本月 Patch Tuesday，Microsoft 共釋出 120 個 CVE 修補，其中 17 個被列為 critical 等級——14 個屬 remote code execution，2 個權限提升，並有顯著比例由 MDASH 多模型代理式安全系統發現。這條訊號補充了主訊號 A 的數字脈絡：MDASH 找出的 16 個漏洞並非只是研究貢獻，而是直接占了本月 critical 等級漏洞接近一半的份額。對 IT 與資安團隊而言，本月修補窗口的優先級應依照「critical RCE > critical EoP > 其他」順序排程。原文：https://ift.tt/Ln0fyAc
主訊號 B 配套：Sophos 統計本月 Patch Tuesday 觸及 132 個 CVE 與 20 個產品線
Sophos 在月度安全統計中以「另一個 AI-finder 時代的 banner month」形容本期 Patch Tuesday，計入132 個修補、影響 Microsoft 的 20 個產品系列。其中 29 個被 Microsoft 自評為 critical，13 個預期會在未來 30 天內被在野利用，43 個屬於 RCE 類別。Sophos 與 Infosecurity Magazine 統計數字略有差異，原因通常是計入範圍（是否含外部廠商串接公告、是否扣除歷史 reissue）不同。對排程修補的工程主管，建議以本身 CMDB 比對受影響產品線而非單看總數。原文：https://ift.tt/7S2oG6t
主訊號 B 配套：Rapid7 統計 137 個漏洞，目前未見在野利用或公開揭露
Rapid7 月度 Patch Tuesday 整理數字落在 137 個漏洞，並特別註明「Microsoft 目前尚未察覺其中任何一個漏洞被在野利用或公開揭露」。三家獨立統計（Infosecurity Magazine 120、Sophos 132、Rapid7 137）雖然數字不同，但「無 in-the-wild zero-day」的結論一致——這跟昨日整理的訊號吻合，給了 IT 團隊一個難得「量大但沒有正在燒的火」的修補窗口，適合把過去累積的 backlog 一次清掉。原文：https://ift.tt/lYCaKQu
主訊號 C：Cycode 推出 Agentic Development Lifecycle Security，把 AI 寫程式全段納入治理
Cycode 宣布推出 Agentic Development Lifecycle Security，將自家軟體安全平台延伸到 AI 驅動的軟體開發流程。新產品定位是把「coding agent 寫程式 → AI 程式碼進入 repo → 進入 CI/CD → 部署」這條完整鏈路納入單一安全治理視角，呼應目前 GitHub Copilot、Claude Code 等代理式開發工具大量進入企業研發流程的現實。對 CISO 而言，這類「agent-aware」的 SDLC 安全平台是過去 12 個月新冒出的產品類別，採購評估時應該優先檢視其對「coding agent 產生的程式碼來源追溯、agent skill／指令審查、agent 在 CI 中的權限隔離」這幾個核心場景的覆蓋深度。原文：https://ift.tt/07hiPE2
旁支訊號：社群開源的 Claude Code Android Reverse Engineering Skill 加入 tracker / AD 中和功能
Reddit r/ReverseEngineering 上有開發者公布 Claude Code 的 Android 逆向工程 Skill 更新，新增tracker 與廣告 SDK 的中和功能，讓使用者可以利用 coding agent 自動化分析 APK 的隱私追蹤與廣告框架。這條社群訊號雖然規模不大，但反映出兩件事：一是 Claude Code 的 Skill 機制正在被資安社群當成「可分享的逆向工程工作流」載體；二是「個人使用 AI agent 做隱私審計」這個應用情境正在浮現。對手機 App 的開發團隊而言，這意味著未來自己的 SDK 會更容易被外部研究員自動化盤點，建議在文件與 SDK 端就開始正面說明追蹤目的與資料流向。原文：https://ift.tt/uV3ZJON
觀察一：AI 找漏洞已從研究案例變主流產品能力——「找漏洞」與「寫安全程式」的兩條 AI 路徑
把 MDASH（Microsoft）、Palo Alto Networks 自家 codebase AI 掃描、OpenAI Daybreak 三條訊號放在一起，可以清楚看到「AI 找漏洞」這個議題在 2026 年第二季已從研究展示進入主流產品競賽。與此同時，Cycode 的 Agentic Development Lifecycle Security 則代表 AI 安全工具的另一條路徑——「保護 AI 寫的程式碼」。兩條路徑共同指向同一個趨勢：未來企業 SDL 的兩個端點都會被 AI 重做一遍，一端是「AI 幫忙找出漏洞」，另一端是「AI 幫忙不要產生新漏洞」。對 CISO 而言，採購策略要同時涵蓋這兩個方向，不能只押其中一邊。原文：https://ift.tt/RnUKpo0、https://ift.tt/fojvTak、https://ift.tt/07hiPE2
觀察二：本月 Patch Tuesday「量大、無野外利用」，是清 backlog 的好時機
三家獨立統計（120 / 132 / 137）雖然數字不同，但都同意本月 Patch Tuesday 規模偏大且無 in-the-wild zero-day。這跟昨日 BleepingComputer 與 ZDI 的判斷一致，意味著「量大但沒有正在燒的火」的格局延續。對 IT 與資安主管而言，這個窗口適合做兩件事：(1) 優先處理 MDASH 找出的 4 個 critical RCE（特別是 TCP/IP 堆疊類），因為這類漏洞一旦武器化擴散速度極快；(2) 把過去幾個月累積的 medium-severity 與相依性更新一次清掉，避免下個月若出現緊急 zero-day 時又被迫並行處理。原文：https://ift.tt/Ln0fyAc、https://ift.tt/7S2oG6t、https://ift.tt/lYCaKQu
今日行動清單：給工程主管與資安負責人
彙整今日訊號，建議本週內可採取的具體動作：(1) 把 MDASH 找出的 4 個 Windows kernel TCP/IP 堆疊critical RCE 列為本月最高優先級，先在 staging 環境驗證後立即推 production；(2) 評估自家研發是否有「把 AI 用在自家程式碼找漏洞」的試點計畫，可參考 Microsoft 與 Palo Alto Networks 的做法，從非 production 的 internal tool repo 試點起；(3) 把 Cycode 這類 Agentic Development Lifecycle Security 平台納入 SDLC 工具 PoC 候選清單，重點驗證對 coding agent 產出的程式碼來源追溯能力；(4) 對使用 Claude Code、Copilot 等 coding agent 的研發團隊，正式加上「agent skill 與 prompt 檔案需走 code review」的內規；(5) 針對手機 App 團隊，啟動一次自家 SDK 的隱私聲明完整性審查，預期未來會有更多社群 reverse engineering skill 自動化盤點 tracker 與廣告 SDK。原文連結：https://ift.tt/RnUKpo0、https://ift.tt/wyZVjxg、https://ift.tt/Ln0fyAc、https://ift.tt/fojvTak、https://ift.tt/07hiPE2、https://ift.tt/uV3ZJON