2026台灣AI資安新局：當攻防都開始使用AI --從政府資安提醒、電商平台事件到金融銀行AI治理

從政府資安提醒、電商平台事件到金融銀行AI治理，觀察企業如何在技術創新與安全信任之間建立長期能力

一、AI正在改變資安攻防，但真正需要理解的是風險如何變化

這幾年持續學習人工智慧、資訊安全與企業管理，我逐漸注意到一個現象：當AI開始具備更強大的資料分析、工具使用與自動化能力時，企業面對的機會與風險也會同步增加。

過去談AI，大家比較關心如何寫出更好的提示詞、整理文件、分析資料，或利用生成式AI提升工作效率。

到了2026年，討論範圍已經明顯擴大。

AI開始協助資安人員分析異常紀錄、辨識可疑行為、整理漏洞資訊；另一方面，相似的自動化能力也可能被攻擊者用來尋找系統弱點、分析公開資訊與加快攻擊準備。

這並不代表AI創造了所有新的資安問題。

從數位發展部資通安全署2026年10月21日發布的「新型態AI攻擊」防護提醒來看，政府強調的核心仍然是企業熟悉的資安基本工作，包括系統資產盤點、漏洞修補、帳號管理、備份及異常監控。

不同的是，AI可能降低部分攻擊工作的成本，讓既有弱點更容易被快速、反覆地利用。

這也是附件研究交叉整理資安署新聞稿、115年9月資安月報與第66至68期資安週報後，得到的一項共同觀察。

例如企業可能早已建置防火牆與防毒軟體，但若測試網站長期對外開放、設備仍使用舊版軟體，或管理帳號沒有額外身分驗證，這些原本存在的問題仍可能成為資安事件的起點。

因此，我對2026年AI資安趨勢的理解是：

AI並沒有讓傳統資安管理失去價值，反而讓基本控制措施必須執行得更即時、更完整。

二、政府近期提醒：資安不只是防止入侵，更要確保營運能恢復

在閱讀資安署近期發布的資料時，我特別注意到兩個方向：減少系統對外暴露，以及建立可靠的備份與復原能力。

第一個方向，是先掌握企業究竟有哪些設備與系統可能被外部存取。

這項工作稱為「外部攻擊面管理」，簡單來說，就是從外部觀察企業有哪些網站、遠端連線服務、雲端系統及設備介面，確認是否存在不必要的開放權限或尚未修補的漏洞。

國家資通安全研究院第68期資安週報，針對93個關鍵基礎設施對象進行外部曝險檢測，所列前十大風險共2,791項。

其中，高風險元件漏洞922項、弱加密協定720項、憑證信任問題673項，三類合計2,315項，約占82.9%。

這組數據值得注意，但不能直接解讀為台灣所有企業的資安現況，因為它來自特定檢測對象與統計範圍。

它真正提供的提醒是：許多資安問題仍然來自既有系統的管理細節。

第二個方向，是建立營運恢復能力。

過去企業可能認為，只要有備份資料就代表已經做好準備。但真正發生事件時，還必須確認備份是否完整、能不能成功還原，以及重要系統需要多少時間恢復。

資安署近期提醒企業採取多份備份、不同儲存媒介，以及離線或不可任意修改的備份措施。

我認為這項觀念與製造業品質管理相當接近。

品質管理不只是避免不良品發生，也必須建立異常處置與矯正預防機制；資安管理同樣不能只關注預防，還要思考事件發生後如何降低影響並恢復正常運作。

這就是「數位韌性」的重要意義。

真正的安全，不只是降低事件發生機率，也包含事件發生後仍有能力維持重要服務。

三、從電商平台事件看見：數位供應鏈已成為共同的資安課題

2026年10月，91APP電商平台事件提供了一個值得產業觀察的實際案例。

根據91APP於10月29日發布的重大訊息及第三方調查結果，該公司因訂單資料庫遭未經授權存取，採取保守方式估算最大可能影響範圍，涉及1,329家品牌及4,798,255名消費者。

可能涉及的資料包括姓名、電話、配送地址、電子郵件及訂單紀錄，不包含密碼、信用卡及支付資料。

這裡有一項重要的數據解讀界線：479萬餘人是最大可能影響範圍，不代表已確認每一位消費者的資料均遭外洩。

從產業角度觀察，這起事件值得注意的並非只有單一平台的技術問題，而是現代企業越來越依賴共同的數位服務。

品牌可能使用外部電商平台、雲端服務、客服系統及資料分析工具。這些服務有助於降低建置成本、加速營運，但同時也使不同企業之間形成更緊密的技術依賴。

當共同平台發生異常時，影響可能沿著服務關係延伸至品牌與消費者。

這就是「供應鏈資安」的重要性。

過去製造業談供應鏈，經常關注原料、零組件、品質及交期；進入數位經濟後，軟體平台、資料服務與資訊系統也逐漸成為供應鏈的一部分。

從品質管理的角度理解，我認為兩者具有相似的責任邏輯。

工作可以委外，管理責任卻不能因為委外就被忽略。

企業需要了解供應商如何管理資料、更新系統、處理漏洞，以及發生異常時如何通知與協助客戶。

這不是否定外部平台的價值，而是提醒企業：數位化程度越高，供應商管理與營運持續能力就越需要同步提升。

四、金融銀行AI應用正在深化，資安治理也必須跟上

如果從金融產業觀察，2026年的變化更加值得注意。

根據金管會10月15日公布的金融業AI應用調查，383家金融機構及周邊單位中，已有164家導入AI，占43%；其中本國銀行的AI導入比例約87%。

在已使用AI的164家機構中，124家採用生成式AI，占約76%；另有33家運用代理式AI，占已使用AI機構約20%。

這些比例的統計母體不同，不能將43%、76%與20%直接視為全體金融機構的相同比例。

從這組數據可以看出，金融業AI已逐步由內部行政與客服，延伸至風險分析、決策支援及部分工作流程。

例如銀行可以運用AI協助辨識異常交易、整理法遵文件、搜尋內部規章，或協助客服人員查詢服務資訊。

這些應用具有實際價值，因為金融機構每天必須處理大量資料與重複性工作。

但金融業同時具有高度敏感的資料與交易責任，因此AI導入不能只考慮處理速度。

10月13日，金管會發布《金融業運用代理AI安全諮詢文件》，提出安全治理、風險分級及安全控制三個討論方向。

所謂代理式AI，是指AI除了產生回答，也能依任務需要規劃步驟、使用工具及跨系統取得資料。

例如一般AI可以協助整理交易異常報告；代理式AI則可能進一步查詢多個系統、建立案件及通知承辦人員。

因此管理問題也隨之改變。

過去主要關心「AI回答是否正確」，現在還要關心「AI可以執行哪些動作」。

金管會諮詢文件特別關注資料敏感程度、行動影響及跨系統擴散能力，並強調身分管理、最小權限、人工監督及行為追溯。

值得注意的是，這份文件截至目前仍屬公開諮詢文件，不應直接當成已全面生效的強制性法規。

我認為這項政策最值得理解的地方，是金融AI治理開始由「管理模型」延伸到「管理整個工作流程」。

AI可以協助分析，但涉及客戶資金、重大權益及正式交易時，仍需要明確的授權、驗證與責任機制。

五、永豐銀行事件提醒：金融安全需要跨越系統與供應商邊界

2026年11月3日，永豐銀行發生部分客戶帳戶異常轉帳事件。

根據11月4日銀行正式聲明，初步調查認為外部駭客利用新網銀交易系統供應商的安全設定，造成部分客戶款項遭不明轉出。

中央社報導指出，事件涉及418人、427筆交易，金額約新臺幣4,176萬元。銀行表示已返還相關款項、阻斷已知攻擊手法，並透過金融資安資訊分享與分析中心分享威脅資訊。

銀行也表示，依當時調查事證尚未發現個資外洩軌跡，但仍持續進行資安與個資盤點。

這起事件需要特別區分：目前公開資料並不足以證明攻擊者使用了AI，因此不應直接將它歸類為AI攻擊事件。

不過，它確實提供了一個與AI治理相關的重要觀察：當銀行系統越來越依賴外部軟體、雲端服務及跨系統整合時，第三方安全設定也會成為整體金融安全的重要環節。

未來若代理式AI進一步連接銀行內部資料庫、交易系統與外部工具，這項議題只會更加重要。

從金融服務角度來看，客戶真正關心的未必是哪一項技術發生問題，而是資金是否安全、事件能否迅速處理，以及銀行能否提供清楚且可信任的說明。

因此，金融AI的長期發展不只需要技術創新，也需要透明的事件處理、明確的責任分工及持續改善。

六、CCChen觀察：未來競爭力不是AI工具數量，而是管理與恢復能力

將近期政府公告、金融AI調查及實際資安事件放在一起閱讀，我逐漸形成一個觀察：

AI正在提高企業處理資訊與執行工作的能力，而資安治理則必須確保這些能力始終處於可以理解、可以控制的範圍內。

這與我過去熟悉的品質管理思維有不少共通之處。

品質管理不會只因為設備通過一次驗收，就認為未來永遠不會發生異常。

企業仍需要製程監控、設備維護、內部稽核、異常處理與持續改善。

資安管理也是如此。

即使系統完成測試，後續仍可能因軟體更新、權限異動、供應商變更或新的使用情境而產生不同風險。

因此，我認為未來企業可以從三個方向建立更完整的管理能力。

首先是看得見風險。企業必須掌握有哪些系統、資料、外部服務及AI工具，並了解它們彼此之間的關係。

其次是控制得住行動。無論是員工帳號、外部系統或AI代理，都應依工作需要設定權限，重要操作保留必要的人工確認與紀錄。

最後是發生異常後能夠恢復。企業需要事先建立備份、通報、替代作業及系統復原機制，避免單一系統事件造成長時間營運中斷。

這三項能力，對大型金融機構與一般中小企業都具有參考價值，只是實際管理深度應依企業規模、資料敏感性與營運風險調整。

展望2027年，我會持續關注三項發展：

AI代理是否進一步進入核心業務

金融監理如何將AI治理原則轉化為實務要求

以及企業如何衡量資安事件的偵測、處置與復原能力。

這些方向目前屬於依公開資料提出的趨勢觀察，並非宣稱主管機關已確定發布新的強制規範。

對我而言，這次整理最大的學習收穫，是重新理解「效率」與「安全」的關係。

兩者並不必然衝突。

如果AI能協助資安人員更快發現異常、整理資訊及提出處置建議，而企業同時具備適當的驗證與授權制度，技術進步就有機會轉化為更可靠的營運能力。

未來值得關注的，不只是AI能替企業完成多少工作，而是企業能否在使用AI的同時，持續維護客戶信任、資訊安全與營運穩定。

這或許才是2026年台灣AI應用與資安發展最值得長期觀察的方向。

— CCChen 心語

「科技讓我們做事更快，管理讓我們走得更穩；真正值得累積的競爭力，是在持續創新的同時，始終保有面對風險與恢復秩序的能力。」

作者介紹｜CCChen 陳正健

CCChen具化工與材料碩士背景，長期投入製造業品質管理、ISO管理與數位轉型，並持續跨域學習AI應用規劃、資訊安全、智慧製造及淨零永續。透過就享知DigiKnow「CCChen產業觀察室」，從個人學習、政府政策、產業資料與實務管理經驗出發，分享AI技術如何與企業治理、風險管理及持續改善結合。

參考資料與查核說明

本文以三份附件研究為基礎，並以政府及企業第一方公告交叉驗證重要數據與事件。

1. 數位發展部資通安全署。（2026年10月21日）。新型態AI攻擊來襲！資安署提出企業防護策略與行動，呼籲穩紮「資安基本功」。資安署官方公告
2. 金融監督管理委員會。（2026年10月15日）。115年金融業應用人工智慧調查結果。金管會新聞稿轉載
3. 金融監督管理委員會。（2026年10月13日）。金融業運用代理AI安全諮詢文件。行政院轉載金管會公告
4. 91APP。（2026年10月29日）。被駭事件調查結果及最大可能影響範圍。91APP重大訊息公告
5. 永豐銀行。（2026年11月4日）。異常轉帳為供應商安全設定遭駭客利用資安事件。永豐銀行正式聲明
6. 中央通訊社。（2026年11月4日）。永豐銀新網銀APP資安事件影響及調查進度。中央社事件報導