【AI資安專題（2/3）】

本文延續前篇AI社交工程攻擊的分析，進一步聚焦企業在導入生成式AI時最常被忽略的風險——AI資料外洩。
👉 前篇閱讀：AI社交工程攻擊升級：企業如何防範釣魚郵件與Deepfake詐騙

---

AI資料外洩：不是駭客，而是日常操作

當企業開始導入生成式AI工具，資安風險的來源也隨之改變。與傳統外部攻擊不同，AI資料外洩往往發生在日常使用情境中，例如員工在查詢問題、整理文件或撰寫內容時，將內部資料輸入AI系統。

根據 IBM Security 與 Gartner 的研究，企業在導入AI工具初期，最容易忽略的並非系統漏洞，而是資料在使用過程中的暴露風險。因此，AI帶來的挑戰不只是技術問題，更是資料治理與使用習慣的轉變。

常見情境：AI如何讓資料在不知不覺中外流

AI資料外洩通常不是刻意行為，而是來自便利性帶來的風險。例如：

• 員工將客戶資料貼入AI工具進行分析
• 將內部報表或合約內容輸入生成摘要
• 使用AI協助撰寫程式碼時包含敏感資訊

這些操作看似日常，但若AI服務未明確限制資料使用範圍，輸入內容可能被系統記錄或用於模型訓練，進而增加外洩風險。

同時，當企業缺乏統一管理機制，不同部門各自使用AI工具，也會讓資料流向變得難以追蹤。

為什麼傳統資安機制難以防範

值得注意的是，AI資料外洩往往難以被傳統資安工具偵測。原因在於：

首先，資料是由「合法使用者」主動輸入，並非異常入侵行為；其次，資料傳輸通常發生在正常應用流程中，不易被判定為威脅。換句話說，這類風險並不是「攻擊」，而是「使用行為」。
因此，單靠防火牆或端點防護，無法有效解決問題。

企業如何降低AI資料外洩風險

面對這類新型風險，企業需要從「控管」而非「阻擋」的角度思考：

• 資料分類與權限控管：明確定義哪些資料不得輸入AI工具
• 導入DLP（資料外洩防護）機制：監控敏感資訊的流動
• 建立AI使用規範：規範員工使用情境與工具範圍
• 集中管理AI服務：避免各部門自行導入造成風險分散

這些措施的重點，在於讓AI使用「可控且可追蹤」，而非完全禁止。

下一步：建立可長期運作的資安架構

當企業同時面對外部AI攻擊與內部資料風險，單點防護已難以應對。下一步需要的是一套能持續驗證與控管的整體架構。

👉 延伸閱讀：Zero Trust 架構實務：AI時代的企業資安防禦策略（敬請期待）

【AI資安專題（1/3）】
本文聚焦AI社交工程攻擊的最新手法，說明生成式AI如何提升釣魚郵件與Deepfake詐騙的擬真程度。
👉 前篇閱讀：AI 網路攻擊升級：微軟揭露 21 種威脅手法，企業資安防禦新階段

---

一封「看起來完全正常」的郵件，可能就是攻擊起點

AI社交工程攻擊正快速升級。從釣魚郵件到Deepfake詐騙，攻擊手法已不再依賴傳統漏洞，而是直接利用人性與信任機制。

想像一封來自主管的緊急郵件，語氣自然、內容合理，甚至提到正在進行的專案名稱，要求你協助確認帳號或處理付款。這類訊息在日常工作中並不罕見，但如今它很可能不是人寫的，而是由AI生成的釣魚攻擊。

隨著生成式AI普及，社交工程攻擊已從「大量散發」轉向「精準設計」。根據 Microsoft Security 與 IBM Security 的研究觀察，攻擊者正利用AI快速生成語意自然、情境合理的內容，使郵件更難以辨識。

AI釣魚郵件：從破綻百出到高度擬真

過去釣魚郵件常因語法錯誤或格式異常而被識破，但AI已大幅降低這些破綻。攻擊者可透過公開資訊（如公司網站、社群資料）拼湊背景，並生成符合企業語境的內容。

例如，一封看似來自財務主管的郵件，可能同時具備正確的語氣、專案名稱與時程壓力，讓收件者在忙碌中快速做出回應。這類攻擊不再依賴技術漏洞，而是鎖定「信任機制」本身。

也因此，企業面臨的挑戰已從「阻擋惡意程式」轉變為「辨識高度擬真的溝通內容」。

Deepfake詐騙：當聲音與影像也不再可信

除了文字，AI也讓聲音與影像的可信度受到動搖。根據 ENISA 的分析，Deepfake技術已被應用於企業詐騙，例如偽造高層語音指示匯款，或在視訊會議中模擬特定人員進行決策指示。

這類攻擊之所以危險，在於其突破了傳統驗證方式。過去企業可能透過電話或視訊再次確認，但當聲音與影像都可被模擬時，「看見本人」或「聽見聲音」已不再等同於真實身分。

防禦思維轉變：降低錯誤信任，而非完全阻擋

面對AI驅動的社交工程攻擊，單一防護措施難以奏效。關鍵不在於完全阻止攻擊，而是降低「誤信」的機率。

實務上，企業可從三個面向著手，降低AI社交工程攻擊帶來的風險：

• 郵件安全機制：導入具備行為分析能力的防護工具，辨識異常溝通模式
• 多重身分驗證（MFA）：避免帳密外洩後被直接利用
• 員工資安意識訓練：提升對AI生成內容的辨識能力

這些措施的核心目標一致：即使攻擊進入環境，也能限制其影響範圍。

下一個風險：來自企業內部的AI使用行為

值得注意的是，企業風險不只來自外部攻擊。當員工開始在日常工作中使用生成式AI工具，若缺乏控管機制，敏感資料可能在不經意間被輸入外部系統，進而產生外洩風險。

這類情境並非理論，而是已逐漸成為企業導入AI時必須面對的實務問題。

👉 延伸閱讀：AI資料外洩風險解析：企業導入生成式AI的控管重點

當生成式 AI 走進校園，行政與教學如何升級？

在 AI 驅動的數位轉型時代，生成式 AI 已不再只是聊天機器人。鑫捷科技（Webplus Technology） 攜手 Google Cloud，針對台灣大專院校推動 Gemini Enterprise 教育創新領航計畫。我們不只提供工具，更提供一套完整的校園轉型生態系，協助行政人員與教職團隊實際體驗 AI Agent 在校務應用上的強大效益。

核心資料保護承諾：學術研究資料 100% 安全

對於教育機構而言，資料安全與隱私是首要考量。Gemini Enterprise 奠基於 Google 的企業級基礎架構，提供以下保證：

1. 資料主權掌控：學校數據不外流

您的提示詞（Prompts）、學校專屬數據與師生個資僅供校內使用。Google 明確承諾，這些資料絕對不會被用於訓練 Google 的公開 AI 模型，確保校方擁有完整的資料所有權。

2. 符合嚴格學術合規性

平台提供 VPC Service Controls、資料落地設定等進階安全防護，符合國際級資安規範。無論是敏感的研究成果還是學生檔案，都能在 100% 安全的環境下運作。

三大校園應用價值：打造 AI 驅動的未來大學

Gemini Enterprise 不僅是 Google Workspace 的延伸，更是能跨平台自動執行工作流程的 AI 代理平台。

價值一、雙語教學神隊友

• 高品質教材生成： 協助教授一鍵生成雙語教案、簡報大綱或課後練習。
• 即時互動回饋： AI 擔任 24/7 的助教，及時回覆國內外學生的學習疑問，掃除雙語學習障礙。

價值二、校務行政自動化

• 建立專屬 AI Agent： 將繁瑣的公文審核、申請案件預審、或是多達數百封的行政郵件轉化為自動化流程。
• 無程式碼工作台： 即使是不具備編程背景的行政人員，也能透過直覺的對話介面打造自訂 AI 代理，大幅減少冗餘工作。

價值三、學術研究加速器

• 百萬文獻解讀： 支援超大網絡文本解析，秒級處理長篇學術論文、整理會議錄音。
• 數據交叉比對： 串連 BigQuery 等資料儲存庫，進行複雜的多維度數據分析，顯著縮短研究週期。

鑫捷科技 x Google：教育推廣方案

為了讓學校在正式導入前先行驗證效益，鑫捷科技提供專屬的 「領航計畫」：

1. 免費試用： 獲得為期一個月的 Gemini Enterprise 平台完整訂閱體驗。
2. 專業培訓： 搭配實戰教育訓練與 Workshop，手把手帶領團隊設定 AI Agent。
3. 專家拜訪： 若貴校有興趣進一步交流，我們可安排與原廠團隊一同親自拜訪說明。

立即預約！開啟校園 AI 新時代

本方案僅限全台大專院校申請。如果您想了解 AI 如何減輕行政負擔、激發教學創意，歡迎與我們聯繫。

• 官方網站： www.webplus.com.tw
• 聯繫電話： 04-2252-2557
• 電子信箱： sales@webplus.com.tw
• 產品詳細資訊： Google Gemini Enterprise 官網

---

根據 iThome 與 Mandiant 最新觀察，企業雲端環境的入侵手法在2026年已完成結構性轉變。過去以漏洞利用與電子郵件釣魚為主的攻擊模式，正快速被語音釣魚（Vishing）與帳密濫用所取代。

這代表資安風險的本質已改變。攻擊者不再從系統弱點切入，而是直接利用企業內部人員與信任流程作為突破口，使傳統以設備與邊界為主的防禦逐漸失效。

2026核心變化：

• 語音釣魚成為主要入侵手法
• 電子郵件釣魚影響力下降
• 攻擊目標轉向身份與帳號
• 入侵後擴散速度大幅提升

2026雲端入侵手法排名

從全球與台灣資安觀察可發現，雲端入侵手法已高度集中於「身份型攻擊」。語音釣魚之所以躍升第一，是因為它能直接繞過多數技術防護，並快速取得帳號控制權。

對台灣企業而言，這樣的風險更加明顯。由於SaaS與遠端工作普及，帳號已成為企業營運核心，一旦被入侵，影響將從單一系統擴散至整體營運。

雲端入侵手法排名：

1. 語音釣魚（Vishing）
2. 帳密竊取與憑證濫用
3. OAuth授權攻擊
4. 雲端漏洞利用
5. 供應鏈入侵

台灣常見風險：

• 假冒IT支援電話詐騙
• 外包與SI帳號被濫用
• SaaS高權限帳號集中

攻擊為何轉向語音與雲端身份？

語音釣魚的崛起，反映出企業防禦策略與攻擊模式之間的長期演化。當企業持續強化郵件安全與端點防護後，攻擊者自然轉向更難被偵測的管道，例如電話與即時互動。

此外，雲端環境中的操作仍高度依賴人工流程，例如帳號重設與權限開通，這些環節一旦被操控，就可能直接繞過所有技術防護。再加上AI技術的應用，使社交工程攻擊更具真實性與成功率。

主要原因：

• 郵件防護成熟，攻擊轉向語音
• MFA可被誘導取得（OTP外洩）
• 使用者信任內部人員與流程
• AI提升社交工程成功率

雲端架構放大風險，攻擊進入「秒級接管」

雲端架構透過SSO與API整合，大幅提升企業效率，但同時也讓單一帳號成為高價值攻擊目標。一旦帳號遭到入侵，攻擊者可快速橫向存取多個系統，形成連鎖影響。

2026年另一個關鍵變化，是攻擊速度的極速化。從入侵到橫向移動甚至資料存取，已壓縮至極短時間，使企業難以及時反應。

雲端風險與攻擊變化：

• SSO導致單點失守全面影響
• OAuth與API增加隱性存取風險
• 攻擊流程自動化
• 入侵後立即橫向擴散

企業資安對策與2027趨勢

面對身份導向攻擊，企業資安策略必須從「防堵攻擊」轉向「控管身份與流程」。單一工具已無法應對，需要整合身份管理、雲端治理與即時監控能力。

同時，從2026的發展來看，2027攻擊將進一步結合AI與自動化，形成更高擬真與規模化的威脅環境。企業若未提前部署相關機制，將面臨更高營運風險。

企業應對策略：

• 導入FIDO2／Passkey抗釣魚驗證
• 建立Zero Trust與條件式存取
• 強化IT流程驗證機制
• 導入MDR／XDR即時偵測

雲端治理重點：

• OAuth與第三方App控管
• SaaS權限最小化
• CSPM持續監控
• 帳號權限定期盤點

2027趨勢：

• AI語音（Deepfake）導入攻擊
• 身份攻擊全面主導
• SaaS與供應鏈成主要入口
• 攻擊自動化與規模化

在勒索病毒與資安威脅日益嚴峻的環境下，企業對於資料保護與營運持續的要求持續提升。鑫捷科技（Webplus）正式宣布與傲索科技（Arrosoft Solutions）展開策略合作，將「資料保護專業服務」導入既有解決方案體系，全面升級企業資安防護能力。

鑫捷科技長期深耕台灣中部市場，服務涵蓋政府機關、教育單位及中小企業，具備完整系統整合與在地服務經驗。透過此次合作，將進一步結合傲索科技在資料備份、防勒索與資安技術上的專業優勢，提供更全面且可落地的資安解決方案。

面對勒索病毒威脅，企業需要的不只是防禦

近年來，勒索攻擊已從單點入侵演變為多階段攻擊模式，包含：

• 滲透入侵與橫向移動
• 資料竊取與外洩威脅
• 系統加密與營運中斷

單一資安產品已無法有效應對複合式攻擊，企業必須建立「預防、偵測、復原」三位一體的防護機制，才能真正降低營運風險。

鑫捷科技 x 傲索科技：打造完整資安防護閉環

透過此次合作，雙方共同建構企業級資安防護架構，協助客戶從源頭防禦到災後復原全面升級：

1. 主動預防：降低攻擊發生機率
   導入AI智能監測與行為分析技術，即時辨識異常活動，在威脅發動前進行阻擋，降低入侵成功率。
2. 即時偵測：縮短資安事件反應時間
   透過全天候監控與自動化機制，快速發現潛在攻擊行為，避免威脅擴散，降低損害範圍。
3. 快速復原：確保營運不中斷
   建立完善備份與資料保護機制，即使遭遇勒索攻擊或系統異常，也能迅速還原關鍵資料，維持企業營運持續性。

為什麼選擇鑫捷科技的資安整合服務？

• 在地服務優勢
  鑫捷科技深耕中部多年，提供即時支援與顧問式服務，協助客戶快速應對資安事件。
• 系統整合能力
  整合網路、資安、備份與基礎架構，打造一站式解決方案，降低企業導入與維運成本。
• 實戰導向規劃
  依據不同產業需求客製資安策略，從風險評估到建置落地，確保方案真正有效。

資安不只是防護，而是企業營運的關鍵基礎

在數位轉型加速的時代，資料已成為企業最重要的核心資產。如何確保資料安全、系統穩定與服務不中斷，已成為企業競爭力的重要指標。
鑫捷科技透過與傲索科技的策略合作，將持續優化資安服務能量，協助企業建立更完整、更具韌性的資安防護體系，讓客戶在面對不斷演變的威脅環境中，依然能穩健成長。

若您正面臨以下挑戰：

• 擔心勒索病毒導致資料遺失
• 缺乏完善備份與復原機制
• 資安設備分散，難以整合管理

歡迎與鑫捷科技聯繫，取得專業資安顧問建議與整合解決方案。

👉 官方網站：https://www.webplus.com.tw
👉 傲索科技：https://www.arrosoft.com/tw