觀點投書：英國成立AI威脅評估中心，臺灣的預警機制準備好了嗎？

2026年10月13日，英國安全局（MI5，通稱軍情五處）局長麥卡倫（Ken McCallum）對外介紹今年成立的人工智慧威脅評估中心（AI Threat Assessment Centre，AITAC），指出恐怖分子嘗試利用AI增強偵察與攻擊手段，AI輔助無人機可能改變攻擊方式，未來甚至存在利用AI降低生物武器研發門檻的風險。儘管部分極端情境尚未成真，英國情報機關開始思考，當AI讓攻擊者取得更強大的技術能力，國家該如何提前發現威脅？

這座設於軍情五處旗下的評估中心，結合人工智慧安全研究所（AI Security Institute，AISI）、國家犯罪局（National Crime Agency，NCA）及國家網路安全中心（National Cyber Security Centre，NCSC）的專業能力，藉此將模型能力評估、網路攻擊、犯罪情資與國安情報納入共同研判。官方公告未顯示該中心取得新增執法權限，內部運作與實際成效尚待檢驗。但英國提出值得觀察的制度方向：讓不同機關掌握的線索，在重大危害發生前形成共同警示。

軍情五處更將「防護」提升為第三項核心任務，與反恐及反制國家威脅並列。金融系統遭駭會影響金流運作，醫療體系遇襲會延誤急救，半導體機密遭竊則損及產業競爭力。當攻擊目標從政府機關延伸至企業、醫院與供應鏈，國安防護除了事後追查攻擊者之外，更須提前辨識哪些產業正面臨共同風險

英國將AI威脅納入國安戰略之際，臺灣企業同樣面臨接連而來的網路攻擊。根據數位發展部資通安全署2026年7月公布的資料，2025年至2026年7月22日，企業及醫療機構公開揭露遭勒索軟體攻擊的紀錄，兩年度合計至少12家。這些紀錄僅涵蓋公開揭露案件，難以推估整體受害規模，亦無法判斷攻擊涉及AI。然而，AI讓攻擊者更容易掌握漏洞、分析目標並準備攻擊，也使威脅更容易跨產業擴散，增加防護難度。

企業遭駭後，資安人員忙著隔離系統、保存證據及恢復營運，警調機關則依法追查犯罪。假設數家銀行與科技公司接連遭到入侵，調查發現惡意程式、入侵手法及異常連線有多處相似，分別處理或許只看到個別事件，合併分析則有助於辨識案件關聯，追查是否存在針對特定產業的攻擊行動。相同工具未必代表相同犯罪集團，境外伺服器更不足以證明外國政府介入。如何整合證據、研判共同威脅，再及時通知尚未受害的企業，才是政府預警能力的考驗。 （相關報導： AI代理有自我意識？1200個OpenAI代理組「AI地下議會」，聯手駭進Hugging Face ｜ 更多文章 ）

面對AI改變網路攻防策略，數位發展部資通安全署於2026年9月4日發布《政府因應先進AI資安風險政策》，宣布成立「先進AI資安風險因應小組」，提出漏洞管理、AI情資分析、供應鏈安全及自主防禦等工作方向。然而，政策內容多以「將發布」、「將推動建立」、「爭取使用」描述後續規劃，未逐項列明完成期限、主責分工、驗收標準及執行進度。政策公布不久，中長期措施尚待落實，可以理解；但責任分工、完成期限與查核方式，應在規劃之初就交代清楚，否則外界看見的仍只是宣示，而非進展。

政府設有法定統籌機制。《資通安全管理法》第5條明定，行政院應定期召開國家資通安全會報，由院長或副院長擔任召集人，相關部門應執行會報決議，並由主管機關數位發展部追蹤管考決議事項的執行情形。《國家資通安全會報設置辦法》允許設置跨機關專案小組，並規範會議與決議執行程序。面對先進AI風險，政府應說明既有會報如何承接政策、督導執行及檢驗成果。畢竟，增加組織名稱與提升國安防護，終究是兩回事。

國家資通安全資訊分享與分析中心（N-ISAC）負責跨領域資安情資交流，國家資通安全研究院承擔平台運作及技術分析工作。刑事局科技犯罪防制中心負責科技犯罪情資研整與重大案件偵查，調查局則具有資安技術分析及國安調查職掌。各機關都有專業基礎，情資交流也有既定管道。關鍵在於，平台蒐集的技術指標如何結合犯罪證據與國安線索，形成有根據的跨產業威脅判斷，據此推動主管機關採取防護措施。

企業通報疑似境外駭侵後，資安主管機關與警調單位應依事件性質及法定職掌分工處理，分別掌握技術資訊、犯罪證據與國安線索。涉及個資、營業秘密或偵查資訊的交換，須遵守相應法律規範；跨機關合作應明確界定分享範圍，保留提供、調閱及使用紀錄，並訂定後續處置流程。需要檢驗的，是現有情資分析與分享機制如何將各方線索整合為共同威脅評估，再由有權機關據以採取防護行動。

英國人工智慧威脅評估中心值得借鏡的，在於跨領域威脅評估的思維，而非成立機構的形式。臺灣已有行政院層級的資安會報，但資安行政協調不能直接等同於涵蓋恐怖主義、生物安全及其他情報工作的國安研判。政府應說明現有資安機制如何依法銜接更廣泛的國安體系，遇到跨領域AI威脅時，由哪個層級統籌研判並擬定處置方向，再交由各主管機關執行。這屬於高層決策責任，應由具備統籌權限的層級主導，而非僅由刑事局、調查局或資安署自行協調。

制度的長期運作，仰賴人才傳承。警界科技人才轉往企業的案例，包括李相臣先後任職富邦金與永豐金、蘇清偉轉往富邦金融體系，以及張俊揚、陳詰昌、陳松春分別出任日盛銀行、台新銀行與元大證券資安長。周冠輝轉任鴻準資訊安全長，原警大教授高大宇退休後則赴永豐銀行擔任資安主管。 這些案例反映警政專業受到企業重視，也考驗政府如何透過技術紀錄、經驗交接與接替人才培育，將個人專長累積為機關的持續能力。

公視2025年6月報導，近三年傳出13名警界科技資訊人才轉換跑道，時任科技犯罪防制中心主任林建隆亦談及人員轉職造成培訓與接替困難。人才自由流動本屬正常，政府的責任在於透過作業程序、技術紀錄及接替人才培育，將多年累積的鑑識、攻擊分析與跨案研判經驗轉化為組織能力，減少人員異動對專業工作的衝擊。

人才留任還涉及專業成果如何評價。傳統刑事偵查重視破案率、移送件數及查獲人數，但境外攻擊分析、威脅獵捕與跨案研判，往往難以轉化為具體辦案績效。假設科技犯罪團隊耗費數月追查境外攻擊網絡，發現數十家銀行存在共同弱點，經主管機關預警後完成修補，這項工作雖未查獲犯嫌，卻協助業者降低遭受攻擊的風險。問題在於，破案有具體數字可供表揚，事前預警的貢獻卻容易被忽略。若績效考核與升遷制度偏重短期偵查成果，投入長期威脅分析的專業人員便難以獲得相稱肯定。政府若希望留住科技偵查人才，就應檢視現行獎勵與考核標準，讓預警品質、情資貢獻及防護成果獲得合理評價。

英國新成立的評估中心成效尚待觀察，臺灣也須檢驗現有制度如何發揮作用。行政院統籌跨部會決策與督導，數發部負責資安威脅分析、預警推動及追蹤管考，各部會督促業者落實防護，警調依法偵查犯罪。重大攻擊發生後，社會有權追問：數發部事前掌握哪些警訊、發布何種預警，又如何協調主管機關追蹤防護措施的落實情形？這些工作應留下可供外部查核的紀錄，而非僅由政府自行宣告成效。 （相關報導： AI代理有自我意識？1200個OpenAI代理組「AI地下議會」，聯手駭進Hugging Face ｜ 更多文章 ）

倘若現有網路攻擊的預警與驗證機制仍有缺口，面對AI自主搜尋漏洞、串聯攻擊手段，甚至將威脅延伸至實體世界，政府又準備如何應對？當AI大幅縮短攻擊準備時間，國家若仍仰賴事後追查，等到攻擊全貌釐清，重大損害恐怕早已難以挽回。