AI工具暗藏供應鏈數據外洩危機 近半企業資安長曾遇相關事件

商傳媒｜責任編輯／綜合外電報導

近期多份報告示警，人工智慧（AI）工具在為企業帶來便利的同時，也成為敏感數據外洩和網路攻擊的新途徑。全球資安解決方案供應商BlackFog發布的研究指出，高達47%的資安決策者曾經歷因AI工具導致的敏感數據外洩事件，其中77%的案例甚至涉及公司核准使用的AI工具。

另一項由Instalily進行的調查則顯示，每六位供應鏈、物流與批發產業主管中，就有一位表示其公司在過去一年曾發生AI工具外洩、共享或導致客戶與供應商數據被不當存取的情形。這類數據的敏感性在於，它可能包含客戶報價、利潤細節以及供應商定價與折扣等關鍵商業資訊，一旦外洩可能嚴重影響企業的競爭力與營運安全。

資安公司Elastic的研究進一步揭露，駭客已開始濫用獲企業信任的AI工具進行網路攻擊。研究人員觀察到入侵者透過Claude Code與ChatGPT等工具在Windows和macOS系統上執行惡意指令，甚至盜取使用者憑證。在27起確認的密碼竊取惡意軟體案件中，從感染到使用竊取憑證登入的平均時間僅為8分鐘。Elastic安全總經理Mike Nichols表示，當前的挑戰在於，AI代理程式（AI agents）若擁有存取憑證並能連結網際網路，即使被濫用，其活動在監控系統中仍可能看似合法，難以察覺，這正是AI工具潛在的安全漏洞所在。

資安研究人員也發現一種稱為「Prompt Adware」的新型威脅。Check Point Research揭露，一種名為Haiou的OpenAI Codex「越獄」工具會修改AI代理程式的信任指示（trusted instructions），強行植入第三方AI閘道服務的廣告。這種透過自然語言指令而非傳統執行檔載入的行為，讓惡意活動更難被辨識。研究人員指出，隨著AI代理程式日益整合進企業環境，其Prompt、技能及第三方組件都成為信任鏈的一部分，一旦被惡用，恐導致供應鏈攻擊。

面對AI工具帶來的資安挑戰，BlackFog創辦人兼執行長Darren Williams博士強調，企業不能僅決定員工可使用哪些AI工具，更需有效控管透過這些工具共享的資訊。目前有39%的企業認為AI導入速度已超越其管理能力，且僅有27%的企業具備全面的AI控制措施。專家建議，企業應建立核准AI工具的清晰清單，並根據其實際行為（例如AI應用程式啟動的進程或遠端管理工具連接的位置）來評估其信任度，而非僅憑核准狀態。同時，也應定期建立系統正常活動的基準，並整合來自雲端、終端與身份數據的訊號，以全面提升資安防護能力。