「駭客不再偷設計圖，而是綁架產線。」奧義、叡揚、TXOne、DEVCORE、安永、VicOne 專家解密供應鏈資安威脅與國際接單通行證
根據《彭博社》報導，NVIDIA 執行長黃仁勳七月表示，全球半導體產業可能需要在未來十年擴張至目前規模的 10 倍，以因應 AI 代理與機器人的普及。
「半導體產業 AI 化」的浪潮，不僅帶來爆發性算力需求，也讓資安威脅以前所未有的速度蔓延。地緣政治對資安合規與透明度的要求日益嚴苛，資安韌性已成為攸關企業生存與國際接單的核心戰略課題。科技報橘社長戴季全於日前在「半導體供應鏈競爭力論壇」中表示，「數據治理」與「資訊安全」 是打通半導體關鍵應用的核心。本場論壇邀請奧義智慧、叡揚資訊、TXOne、DEVCORE、安永與 VicOne 等企業專家，從開發端、產線端到合規端，共同探討如何打造兼具高彈性與防護韌性的智慧半導體生態系。
奧義智慧揭密供應鏈四大威脅
奧義智慧資安研究處長陳仲寬指出，供應鏈攻擊主要可拆解為軟體植入惡意程式、跳板攻擊、第三方資料外洩與重要供應商系統漏洞等四大類型。其中，「軟體更新」是駭客關鍵的突破口，在於使用者與防禦體系對更新管道普遍抱持預設信任，使惡意行為會自行繞過既有安全監控。
面對日漸猖獗的威脅，陳仲寬表示，軟體開發商必須在更新伺服器（Update Servers）部署全面的監控機制，即時分析更新流量與檔案異動，並限縮內部管理者權限與稽核，企業端也須同步提升主動威脅獵捕能力、盤點潛在的攻擊面，以及對外部軟體更新進行不間斷的監控與分析，從供應商到企業終端共同建立多重防禦機制。
叡揚資訊打造製造業資安閉環：看得見、隔得開、追得完
叡揚資訊資安直屬事業處技術顧問許農育表示，企業若要打造強韌的資安防護，關鍵在於建立「看得見，隔得開，追得完」的資安閉環，從被動應變轉向為主動防禦。
首先，在「看得見」階段，企業需要先看見風險、確認影響，許農育建議可以透過資安評級軟體 Bitsight 進行外部風險評估與監控，並結合 Mend.io 自動化生成軟體物料清單（SBOM），掌握軟體組成與潛在風險。其次是「隔得開」階段，透過網路微分段（Microsegmentation）掌握內部網路流量與系統間通訊關係，依據企業環境與營運需求建立細緻的存取政策，降低單點入侵後的橫向移動與擴散風險。最後則是「追得完」階段，將風險發現、事件處置、修補與驗證串聯起來，透過叡揚資訊 TrackoSecOps 資安營運治理平台，整合情資風險、弱點管理、事件管理與合規管理四大核心環節，讓每項資安風險都有明確的處置進度與追蹤紀錄。
隨著製造業數位化與供應鏈連結日益緊密，資安風險已不再侷限於單一系統或設備，而可能透過供應鏈、軟體元件與內部網路持續擴散。面對攻擊面擴大、資安威脅快速演變，以及合規與客戶要求日益提高，企業更需要從單點防護走向持續性的整體資安治理。
TXOne 揭密半導體產線兩大盲點
TXOne 資安威脅與產品防護中心資深經理 Mars Cheng 指出，「隨著 IT 與 OT 系統高度互連，高達 96% 的資安事件是從 IT 網路入侵，卻有 88% 的組織選擇與舊有風險共存。」其核心原因在於業者面臨產線停線壓力，導致大量舊有機台與系統無法輕易更新，進而成為長期暴露的資安弱點。
而關於半導體生態系的核心威脅，Mars Cheng 點出兩大關鍵破口：其一是數位憑證、金鑰與帳號等「機器身份」管理失控，其二是產線常用的 SECS/GEM 通訊協定普遍缺乏加密與基礎防範，加上設備原廠的預設設定多半以「產線能運作就好」為優先，忽視了資安防禦。 對此，SEMI E187 資安標準扮演了極為重要的角色，要求設備在正式進場前必須完成無毒聲明與漏洞掃描，從源頭阻絕已知風險進入 OT 環境。Mars Cheng 強調，產線資安必須透過生命週期的資安標準與跨組織協作，才能真正打造具備強韌資安體質的半導體產業生態系。
DEVCORE 剖析紅隊演練與「可以驗證的安全」
面對新型態的資安威脅，傳統的被動防禦與靜態漏洞掃描已無法滿足企業需求。DEVCORE 共同創辦人暨執行長翁浩正指出，現代資安思維必須「對內」與「對外」雙管齊下。對內防禦方面，關鍵在於引入紅隊演練（Red Teaming）讓企業直面真實弱點，透過模擬真實駭客的攻擊思維與手法，釐清潛在的攻擊路徑，驗證組織在實際攻擊下的存活率，同時評估阻斷威脅的應變時效，進而完善事後的復原與修正機制。
另一方面，針對對外的「產品安全」，企業應將安全測試與資安研究前推至軟體開發生命週期中，透過內外的防禦策略，企業才能化被動為主動，建立具備高度彈性且「可以驗證的安全」，真正將資安防禦轉化為商業競爭力。
安永解密國際通行證：CMMC 2.0 與 SEMI E187
「駭客不再只是偷設計圖，而是透過供應商直接綁架產線，」安永諮詢服務總經理萬幼筠指出，當前的供應鏈攻擊已轉向更具破壞性的形態，當惡意軟體或攻擊侵入終端設備，將對晶圓廠造成良率損失。
在這樣的威脅局勢下，資安韌性（Cyber Resilience）成為進入國際供應鏈的關鍵之一。其中，CMMC 2.0 是進入北美與 Tier-1 高科技供應鏈的通行證，而 SEMI E187 更是晶圓廠建構「數位無塵室」的安全規格。萬幼筠強調，企業必須採取「Shift Left」戰略，在設計初期導入 SEMI E187 等安全規範，從源頭將資安責任前置，才能在供應鏈重組築起信任護城河。
VicOne 拆解車用半導體資安威脅與國際競爭力
VicOne 資深架構師 Luffy Lu 指出，車用半導體正面臨產品週期、威脅演進與法規節奏「三個對不上的時鐘」挑戰，過去晶片開發與量產動輒需時 3 到 5 年，車輛服役長達 15 年以上，但駭客攻擊者卻是以小時為單位進逼。
隨著 AI 技術演進，資安漏洞從揭露到被攻擊的時間也已被壓縮至極限。「2024 年攻擊者平均需耗時 56 天製作攻擊程式，到了 2026 年卻縮短至平均僅需 10 小時。」面對倍速成長的威脅與法規強制要求，資安成為車廠與供應鏈的法定義務。
為在漏洞爆發時快速定位影響範圍並釐清受害產品，車廠在晶片選型上大幅提升對供應鏈透明度的要求，導入硬體物料清單（HBOM）與軟體物料清單（SBOM）。Luffy Lu 表示，現代車用資安防護須在設計初期植入安全基因，廠商更須明確說明晶片內部元件組成、漏洞應變與修復的速度，以及資安維護的承諾年限，將資安實力透明化，才能在國際車用供應鏈市場中贏得信任與訂單。