【國際 AI 資安論壇】如何管理 AI 時代資安風險？專家揭駭客常見做法建議「多管齊下」策略
生成式 AI 帶動台灣的高科技製造業蓬勃發展，企業也在積極導入 AI 以提升競爭力，不過風險管理與監管挑戰隨之而來。國際通商法律事務所與全球數位產業聯盟協進會（GDDA）今日共同舉辦「2024 國際 AI 資安論壇」，探討「生成式 AI 之導入與資安風險管理」，涵蓋政府部門與企業的風險管理與因應措施。
數發部長：年底推 AI 風險分級框架
數發部部長黃彥男今日出席論壇發表專題演講，指出全球已有逾 7 成企業導入 AI，而生成式 AI 的風險伴隨應用而生，共可區分為 5 大面向包含虛假訊息、資訊安全、國家安全、內容合規、智慧財產權，而駭客也利用 AI 進行創新攻擊。他表示，當中有很多面向是政府層級需要處理的風險。
黃彥男表示，政府目前已提出「人工智慧基本法」草案，強調隱私保護與人權，而數發部將據此推動人工智慧風險分級框架，並推動相關機關提供評估工具，協助各部門避免 AI 侵犯個人資料、生命財產安全，造成偏見和歧視。此外，數發部也正在推動 AI 評測體系架構與制度。黃彥男強調，AI 的導入與資安風險管理，需要公私協力。
黃彥男會後表示，風險分級會區分風險程度、怎麼應用，都有不同的要求，相關規範將在年底與「人工智慧基本法」一起出爐，向外界說明。
針對台灣「人工智慧基本法」推動 AI 風險分級框架，國際通商法律事務所執行合夥律師黃麗蓉表示歐盟也已採行風險分級，將涉及最高風險如最機敏的資料，投入最大的成本來保護，而不是不管風險層級都全做一樣的防護，這將帶來太高的成本、讓企業疲於奔命，因此樂見政府落實基本法草案，能考量到這些原則。
因應 AI 時代網路攻擊，企業應該注意的風險為何？
針對企業端，黃麗蓉在論壇中表示，AI 為企業帶來了一系列挑戰——從網路威脅、資料外洩、演算法歧視、到智慧財產權侵害、營業秘密洩露、 法律遵循和勞動力替代，也將勒索軟體攻擊推向更高層級的精密度、速度和規模。她表示，有鑑於 AI 驅動的詐騙手法不斷推陳出新，企業應該建立健全的資安防禦機制，著重於早期預警、緊急應變和維持營運，藉此因應不斷變化的威脅環境。
Baker McKenzie 網路安全業務全球主席 Cyrus Vance Jr. 表示，不法分子利用 AI 實現高度個人化的網路釣魚、深度偽造、社交工程和多因子驗證（MFA）繞過，企業都必須防範。此外，他也指出 AI 普及下，企業面臨的訴訟風險也增加，最為顯著的是智慧財產權訴訟，包含主張 AI 訓練模型所使用的資料侵害了著作權、隱私權或其他類似的權利限制。
針對打擊網路及人工智慧詐欺，Baker McKenzie 雪梨所合夥律師 Ryan 強調，從技術角度而言，他觀察到最常見的資安漏洞仍是密碼管理不當，加上缺乏多因子驗證（MFA）機制。對於政策層面，最關鍵的是清楚掌握組織擁有哪些資料、誰有權限存取這些資料，以及為何需要存取。此外，LLM （大語言模型）倘若使用的訓練資料品質不佳，則可能使組織面臨各種風險，包括決策失誤和法規遵循風險。
黃麗蓉也在會中建議，企業應對駭客攻擊的策略為「多管齊下」，除了通報等關鍵步驟，也應立即和律師合作、尋求協助。這些關鍵步驟包含，一，概覽事件，如迅速識別攻擊的性質、確定哪些系統和資料受影響，並確認是否有數據被訪問或加密；二、掌握資料細節，如受影響的資料、如何受到影響、誰受到影響、是否涉及司法；三、影響評估，了解對個人和企業的影響；四、通知主管機關和任何相關單位。
＊本文由 國際通商法律事務所 提供，內文與標題經 TechOrange 修訂後刊登。新聞稿／產品訊息提供可寄至：pr@fusionmedium.com，經編輯檯審核並評估合宜性後再行刊登。圖片來源：《TechOrange》拍攝。
（責任編輯：廖紹伶）