我的職涯一直在探索：究竟是什麼讓內容真正留在人們心中？從早期替 Apple 等品牌工作，到過去二十年跨足電影、動畫與生成式 AI，我每隔幾年就會接觸不同的工具，但背後始終是同一個問題：什麼能讓人專注投入，而不是轉身離開？

後來我發現，這個問題正位於資安產業苦苦摸索了 15 年的核心：要如何建立一種文化，讓人們真正改變行為？不是為了合規，也不是為了按下「完成」，而是真正改變。

在這段歷史的大部分時間裡，答案都聚焦在一種人身上：坐在鍵盤前的員工。那個收到精心偽裝郵件、到處重複使用同一組密碼，或是在週五下午 4:55 因為不想多想，就核准自己根本沒有發起的 MFA 提示的人。這項工作至關重要，而 KnowBe4 已經在這個領域領先了 15 年。

但我們大多忽略了對話中的第二種人：開發人員。

他們可能是在期限壓力下交付程式碼的工程師，也可能是直接貼上 AI 產生的函式，卻沒有仔細閱讀內容的人；或者是那支在第一天就把錯誤存取控制寫進應用程式，之後卻再也沒有人發現的團隊。這些人並不魯莽。他們只是擅長自己的工作，卻從未在需要的時刻接受過針對這類風險的訓練。

我們一直把資安意識與安全程式碼視為兩個分開的世界：一個屬於全體員工，另一個屬於技術團隊。但攻擊者從來沒有尊重過這條界線，我們也不該如此。

AI 讓界線改變了

真正改變現況的是這一點：如今有 72% 的開發人員在日常工作中使用 AI。這帶來巨大的生產力提升，但也伴隨一種全新的失誤模式：AI 產生漏洞的流暢程度，和產生可運作程式碼一樣高，而且速度快到幾乎沒有機會在程式碼上線前發現問題。

Secure Code Warrior 共同創辦人暨 CEO Pieter Danhieux 用一句話精準說明了這項發展：「隨著軟體開發從人類撰寫程式碼，轉變為 AI 輔助開發，再進一步發展到完全代理式的系統，每位員工都將成為應用程式與 AI 代理的建構者。」

請再讀一次。每位員工都會成為建構者。「技術」與「非技術」之間的高牆不只是在降低，而是即將倒塌。這也意味著，需要具備安全建構思維的人，將很快涵蓋幾乎所有員工。

這正是 Secure Code Warrior 合作案對我如此重要的原因，也正是它應該成為 KnowBe4 工作的一部分，而不是置於其旁的原因。

我們要交到你手上的內容

目前 KnowBe4 ModStore 已提供 9 個系列、共 31 項學習活動：

• Application Security 101

• OWASP Top 4：Broken Access Control、Security Misconfiguration、Software Supply Chain Failures、Cryptographic Failures

• OWASP Top 10 for Large Language Model Applications

• Coding with AI、Data Protection、Threat Modeling。

涵蓋 10 種程式語言與 8 種口語語言。

目錄內容固然重要，但我更在意的是學習體驗本身。

我整個職涯始終相信一個理念：互動參與就是一切。它不是附加在「真正」內容上的點綴，而是內容的核心。缺乏投入的人不會學習，而不學習的人就不會改變。因此，讓人感到無聊的訓練，等於無法完成它唯一該完成的任務。Secure Code Warrior 也是建立在同樣的信念上。開發人員能在自己實際使用的語言與工具中親自練習，雙手放在鍵盤上，並置於真實情境之中。這就是我希望 KnowBe4 Studios 所有內容都能達到的標準。

正如我們的 Chief Product Officer Greg Kras 所說：「客戶需要的不只是靜態資源。他們需要最新的即時內容與快速互動，確保技術團隊不會落後。」

資安文化不會一分為二

所以，如果要對正在閱讀這篇文章的 CISO 說一句話，我會這樣說：只涵蓋一般資安意識的資安文化，就像一棟少了一面牆的房子。即使員工再擅長辨識釣魚郵件，只要底層程式碼不斷帶著漏洞上線，結果仍然沒有意義。攻擊面會同時延伸至所有環節：收件匣、瀏覽器與程式碼庫。

解決這兩類問題的方法其實相同：提供切合需求、符合角色，而且品質好到讓人真正願意參與的訓練。發佈含有 OWASP Top 10 漏洞程式碼的開發人員，與點擊連結的員工，其實有一個共同點，而那並不是粗心大意，而是沒有人在正確的時間，提供他們適切的練習。

這兩種情況都可以改善，但若訓練只是讓人咬牙撐過去，任何一種情況都不會真正獲得解決。

在 KnowBe4 Studios，我們會以這項標準檢視每一份內容，不論是屢獲殊榮的敘事系列，例如 The Inside Man，或是與 Secure Code Warrior 共同打造的實作型安全程式碼模組。形式可以不斷改變，但標準永遠不會降低。

這些內容目前已開放給 KnowBe4 Diamond 與 SAT Advanced 客戶使用。如果你還不知道開發人員在安全程式碼基礎能力上的程度，這是找出答案的最佳方式。