AWS Continuum 正式上線：AI 修補程式碼漏洞拿下 89%，但真正修對的只有 37.8%

AWS 在 10 月 22 日把 Continuum 程式碼漏洞服務推向正式版，端到端基準 819 題過關，但最後一道修對歷史漏洞的關卡僅 37.8%，提醒自動修補仍需人工把關。

亞馬遜雲端事業 AWS 在 10 月 22 日宣布，專門處理程式碼漏洞的 Continuum 服務正式對外開放。這套服務的賣點不是再多發一張警告清單，而是把整段流程跑完：找出疑似弱點、驗證它是不是真的能被利用、依業務衝擊排優先順序，最後直接以合併請求的形式把修補程式交到開發者的工作流程裡。

從環境脈絡判斷，哪些漏洞真的要緊

Continuum 會先從客戶的 AWS 環境描繪出一張脈絡圖，涵蓋資源之間的拓撲關係、身分關聯與網路可達性，用來判斷某個發現到底牽涉到哪個應用、又承載多大的實質風險。它會吃進現有的漏洞通報、掃描程式碼，接著在隔離的沙箱裡實際測試，確認該弱點是否具備可利用性，而不是只憑規則比對就發警報。排定順序後，修補會連同可利用性證據與影響範圍評估一起附上，讓審查的人一眼看出改動會波及哪些地方。

服務起步時處於學習模式，提出的修補要經過人員核准；等到對自身精準度累積足夠信心後，才能切換到強制模式，在使用者劃定的護欄內自行採取行動。它同時與 GuardDuty、Security Hub 等既有安全服務並行運作，而不是另起一套孤島。

89% 的成績，是四道關卡一路闖下來的結果

AWS 拿公開基準 CyberGym-E2E 來衡量這套系統，題庫共 920 題，取材自 139 個開源專案裡的 OSS-Fuzz 歷史漏洞，專案規模中位數超過 60 萬行程式碼。受測的代理人拿不到漏洞說明、當機紀錄、概念驗證程式或原始修補，測試期間也不能對外連網，每題限時 90 分鐘。

闖關分成四個階段：先重現當機、再修掉讓當機不再發生、接著確認修補沒有破壞原有功能測試，最後檢驗是否真正修復了指定的歷史漏洞。Continuum 在各階段的通過率分別是 92.5%、89.6%、89.0%，最終端到端成績 89.0%，也就是 819 題全數過關，比先前公開最佳的 65.9% 高出 23.1 個百分點。這份基準成績早在 10 月 5 日就先公布，正式上線則落在兩週多之後。

最值得留意的數字，其實是 37.8%

把鏡頭拉到最後一關：只看是否精準命中指定的歷史漏洞，Continuum 的通過率掉到 37.8%。換句話說，系統很擅長讓程式不再當機、又不破壞既有功能，但要宣稱自己修的正是當年那個漏洞，成功率還不到四成。這正是「修好了症狀」與「根除了病灶」之間的落差，也是自動修補最容易讓人誤判的地方。

對採用者而言，合理的姿態是把這類工具當成加速器，而非放手不管的自動駕駛：先用學習模式累積信任，把影響範圍評估與合併請求審查做扎實，再逐步放寬自動化權限。這也是看店勢把權限與資料安全放在產品設計核心的原因——自動化跑得越快，事前劃清的邊界就越重要。

資料來源

• AWS 官方新聞：AWS Continuum for code vulnerabilities is now generally available（2026-10-22）
• CyberOGZ：AWS says Continuum reached 89% on end to end code vulnerability benchmark