Zafran

Zafran 是一套 AI 原生的威脅曝險管理（CTEM）平台，標語是「修補要幾週、攻擊程式只要幾小時、Zafran 只要幾分鐘」。官網的數據是每天有 130 個新 CVE、99% 的關鍵漏洞實際上無法被利用、每三個 CVE 就有一個在揭露當天被武器化，所以重點不是修完全部，而是知道哪些真的危險。

平台分五塊。統整發現：把雲端、地端與應用安全各家掃描器的結果正規化、去重，形成單一事實來源，也能用 Zafran 的持續偵測取代舊掃描器。評估風險：依執行期是否存在、是否暴露在網際網路、是否已被在野利用、資產重要性與既有防護是否已緩解，判斷是否真的可被利用。緩解：把曝險對應到現有的補償性控制，給出逐步指引、調整防護政策，在修補前先縮短曝險窗口。修補：RemOps 用生成式 AI 把重疊的 CVE 合併成單一修補動作、擬定修補計畫，並自動派到既有工單系統的正確負責人。主動曝險獵捕則在新 CVE 或零時差出現時回答「我們有沒有中？」。

功能特色與適用場景：Zafran 近期與 Google 威脅情報合作推出 Attack Chain Killswitch。客戶推薦來自 Kraft Heinz、Chipotle 與 Netskope 的資安長，強調它能驗證既有防護是否真的有效、提升資安工具投資報酬。對台灣常被「每月幾千個弱點」壓垮的 IT 團隊，先用補償性控制擋、再集中修真正可利用的項目，是比較實際的做法。