駭客都用AI了　金管會：攻擊形態大不同，防禦要跟上

國內外資安事件頻傳，金管會今（12）日邀集76家金融機構舉行資安長會議，強調金融機構對外暴險一定要減到最小、對於同時出現的多個漏洞要有優先排序的觀念、董事會應給資安單位足夠的資源，以及請金融業審慎評估導入防禦性AI，也就是用AI對抗AI。

金管會今日舉行例行記者會，林裕泰出席，除了答覆外界關注的永豐銀行427筆存款異常轉出案，也說明金管會今日邀集76家金融機構舉行的資安長會議；關於後者，他表示主要有4項重點。

首先是金融機構必須落實基本功。無論最近韓國或我國國內發生的資安事件，「我們還是再三強調，對外暴險你一定要縮減到最小，特別是針對一些外部人員存取或是特權帳號存取的部分，能夠秉持我們零信任的規劃，導入多因子驗證、落實最小權限，而且能夠有一些足夠的監控措施。」

另外，為了縮減資安事件發生時的爆炸半徑，也就是受害範圍，必須針對網路的大區域做一些區隔，稱為網路的分段或微分段。關於這些基本功，金融機構必須落實。

其次，AI很擅長去找漏洞，如果很多個漏洞同時出現，金融機構必須有優先排序的觀念，根據該漏洞是否可以被利用、是否可以造成AI自動化攻擊、是否能夠掌握系統控制權......等等，根據這些指標重新優先排序。

若涉及大量漏洞需要安排時間處理，要能掌握內部的資安基礎設施中哪些應優先處理。金融機構要有能力識別與排除，要有風險導向的觀念。

第三，AI已經改變資安防禦型態，「AI的攻擊跟過去駭客攻擊，形態上有非常大的差異。我們過去針對人的防護，在面對AI攻擊時不見得能夠完全偵測跟抵擋。」

所以，金融業不只是資安長，其經營管理階層，以及董事會，必須掌握有關變化，適時給予資安長、資安部門、資訊同仁及相關權責單位足夠的資源處理及防範資安事件。

第四，「我們要開始請金融業審慎評估導入防禦性AI，就是我們大家講的以AI對抗AI。駭客用AI，如果我們不用AI，可能會處於落後的局面。」但是，使用AI在防禦上有其風險，所以金管會上個月發布了一份金融業導入代理AI的安全諮詢文件，今天的資安長會議也針對這份文件做了一些討論。 （相關報導： 永豐銀案　金管會：駭客一般不會直接接觸中台，了解是否落實相關規範 ｜ 更多文章 ）

林裕泰說：「我們希望在風險可控的情境之下，讓金融業開始把AI應用在資安的防禦上面，包含漏洞的偵測、漏洞的修補、情資的分析跟資安的監控，希望金融機構可以優先導入。」