NetSafe.TW

recent posts

about

思科總裁給 27 歲工程師「無限 AI token」：目標 24 個月重構 98% 舊程式碼，AI 改寫程式的資安風險要看審查

思科（Cisco）總裁暨產品長 Jeetu Patel 日前接受美國《財星》（Fortune）訪問時透露，他給一名 27 歲工程師「不設上限」的 AI token 額度，目標是在 24 個月內重構思科 98% 的舊程式碼。台灣的動區動趨、AI 新視界、TokenPost 中文版也已跟進報導。思科的路由器、交換器、防火牆在台灣企業和電信網路中相當普遍，這項計畫往後會不會影響產品的穩定與安全，值得 IT 管理者留意。

新聞重點

  • 《財星》10 月 30 日（美東時間）報導：Patel 在一場小型圓桌晚宴上說，他給了工程師 Padmanabhan Krishnamurthy（暱稱 Paddy）無限的 token，「因為他要重構程式碼……你可以放手去做（go nuts）」。Tom’s Hardware、India Today、NDTV、InfoQ 及台灣多家媒體都引述了這段內容。
  • Krishnamurthy 2023 年共同創辦即時翻譯新創 EzDubs，2025 年隨思科收購 EzDubs 加入公司。Patel 形容他原本「被埋在組織裡，做著不具策略意義的事」，職級比 Patel 低「五層」。
  • Krishnamurthy 認為只要兩人小組就能重寫思科的舊程式碼。他先給自己 4 週做概念驗證，最終目標是 24 個月內重構 98% 的舊程式碼。
  • 98% 只是目標，不是成果。目前報導都沒有說明舊程式碼的範圍與規模、98% 怎麼計算、用哪一家的 AI 模型、token 花了多少錢，也沒有公布驗證結果。TokenPost 中文版指出，目前找不到思科針對這項計畫的官方公告。

思科做了什麼、為什麼要做

這不是思科第一次公開談 AI 寫程式。Patel 在 2026 年 2 月的思科 AI 高峰會上表示，思科第一個程式碼 100% 由 AI 撰寫的產品是 AI Defense；他預估 2026 年底前會有約 6 項產品的程式碼完全由 AI 撰寫，2027 年底前目標是約 70% 的產品組合達到同樣程度（Network World、India Today 及思科新聞中心皆有記載）。他同時強調，人類仍要負責撰寫規格與審查程式碼，開發瓶頸會從「寫程式」轉到「讀程式、審程式」。

思科也公開過一個較具體的案例：DevNet 開發者文件平台 PubHub 因為無法達到思科內部資安標準，被資安部門要求改用 Go 語言重建。根據思科官方部落格（10 月 28 日發表 Part 2），原定 9 個月的工作由 12 名工程師約 5 個半月完成，9 月中旬上線，比原定 12 月底提早約 3.5 個月。團隊先讓 AI 讀舊程式碼、產生架構文件並由專家審核，再讓 Claude Code 等 AI 代理撰寫完整功能與測試；每一筆變更仍須人工審查，審查端也導入了 AI 審查代理。這段內容 TokenPost 中文版也有轉述。

另有報導指出，Patel 在 10 月 8 日的 Y Combinator 訪談中提到，思科曾用 AI 把約 50 萬行內部程式碼重構成約 12 萬行，花了約兩週（未核實：目前只有 TokenPost 一個來源，也沒有品質或缺陷率資料）。

資安面：AI 重寫程式碼的好處與風險

可能的好處

  • 清理技術債：舊程式碼常留有過時函式庫、弱加密或寫死的設定，重寫是換掉它們的機會。PubHub 的重建本身就是為了符合資安標準。
  • 改用較安全的語言與標準基底：PubHub 改用 Go，並建立在思科新服務共用的安全基底映像（secure base image）上。
  • 把資安規則交給 AI 遵守：思科 2025 年 10 月開源 Project CodeGuard，2026 年 2 月捐給安全 AI 聯盟 CoSAI（OASIS 旗下），用規則引導 AI 寫程式時避開寫死密碼、弱加密、缺少輸入驗證與權限檢查等問題。

需要注意的風險

  • 功能回歸與新漏洞：重構理論上不改變功能，但大規模改寫可能漏掉藏在舊程式碼裡、沒有文件記載的邊界情況。PubHub 團隊也提到，這些邊界情況「活在程式碼裡，而不是文件裡」。
  • 審查量暴增：AI 產出速度遠快於人工審查，Patel 本人和 PubHub 團隊都說審查是新的瓶頸。審查跟不上時，有問題的程式碼可能流入產品。
  • AI 常見的不安全寫法：CodeGuard 官方列出 AI 寫程式時容易跳過輸入驗證、寫死憑證、用弱加密演算法、漏掉身分驗證與授權檢查。思科也表明 CodeGuard 無法保證產出的程式碼一定安全，不能取代同儕審查。
  • 資訊不透明：目前沒有公開這項計畫涵蓋哪些產品，例如是否包括 IOS 等網通設備作業系統，也沒有測試方式與缺陷率數據。

建議怎麼做

企業／IT 管理者

  • 使用思科設備的單位，持續訂閱思科資安公告（Cisco Security Advisories），重大版本更新先在測試環境驗證，再分批上線。
  • 維持設備與軟體清冊，留意新版本的發行說明與已知問題，保留可回復的設定備份與舊版韌體。
  • 自家團隊導入 AI 重構時，比照 PubHub 做法：先讓 AI 產生文件並由專家確認，所有變更都要人工審查，搭配自動化測試與新舊版本比對。
  • 在 AI 寫程式流程中加入資安規則（例如 CodeGuard）與靜態掃描、相依套件檢查，但不要把它們當成取代審查的保證。

一般用戶

  • 這則新聞對一般用戶沒有立即影響，不需要特別處理。
  • 家用路由器、手機與電腦照常開啟自動更新；更新後如果網路異常，先重新開機，再查詢廠商公告。
  • 自己用 AI 寫小程式或網頁時，不要把密碼、API 金鑰直接寫進程式碼，上線前請懂資安的人看過。

資料來源

Posted in

發表留言