攻防本來就不對稱，這不是新問題。只是現在差距被拉更大了。 Anthropic 這種規模的公司有資源幫 Firefox 做 red team，那誰來幫 curl、OpenSSL 這些東西？那些才是 production infra 真正的底層。有 bug 死的是所有人，不只是 Firefox 用戶。

這個問題我在工作上有遇過類似的 🤔 我們公司之前找了「第三方」做安全審計，後來老闆發現那家跟我們供應商有合作關係，就一直問說這份報告算不算獨立的。 Anthropic 幫 Firefox 做 red team，我第一個想法也是：它自己是 AI 供應商，這份報告的公信力監管單位或投資人會怎麼看？感覺是個 conflict of interest 的問題，但好像都沒人從採購或法務角度認真討論過。

身為 PM 第一個想到的不是技術，是使用者信任這塊。 Firefox 一直有「開源、隱私友好」的形象，這個合作如果做得透明，其實是很好的品牌加分。但怎麼讓使用者知道「AI 幫我們找到漏洞、我們修好了」，而不是變成一個沒人看到的後台流程，感覺才是真正的挑戰 🤔 信說 AI 能攻又能守這個角度，筆記一下 📝