商傳媒｜何映辰／台北報導

儘管美國企業投入創紀錄資金於人工智慧（AI）驅動的資安工具，今年的資料外洩平均成本仍高達 1150 萬美元，較去年增加 11%，幾乎是全球平均的兩倍。去年資安支出成長 12%，主要由新型 AI 工具推動，且大多數資安長（CISO，即企業的最高資訊安全主管）預期這波 AI 投資熱潮將持續一到兩年。

根據《Spiceworks Inc》報導，這項矛盾現象反映出資安領域的攻防戰正因 AI 而加劇。攻擊者已能利用生成式 AI 大幅縮短網路釣魚郵件的撰寫時間，從 16 小時縮短至僅約 5 分鐘，甚至能在數秒內創造出獨特的惡意軟體變種。此外，Agentic AI（代理式 AI，能自動化執行複雜任務的 AI 系統）更可在數分鐘內自動完成從偵察到資料竊取的整個攻擊鏈，過去需耗時數週才能發現並利用的漏洞，現在僅需數小時即可達成。

然而，防守方的 AI 應用卻顯得不夠全面。研究顯示，雖然 94% 的業界領袖將 AI 視為資安的關鍵力量，且 77% 的公司已在資安作業中運用 AI，但這些應用主要集中在威脅偵測與回應。僅有 18% 的企業使用 AI 代理進行漏洞掃描與管理，更有超過三分之一的組織未將 AI 用於前端的漏洞發現與修補工作。

IBM 分析指出，問題不在 AI 本身，而在於企業應用方式。Vectra AI 的資安威脅研究經理 Lucie Cardiet 提到，傳統資安防護多針對「看起來有異」的情況設計，但現今的 AI 攻擊手法卻能讓惡意行為「看起來無異」。資安公司 Saviynt 的現場技術長 David Lee 強調，資安基本原則未變，但應用的速度與規模必須跟上。例如，攻擊者可在數分鐘內利用漏洞，但 60% 的組織仍需超過一週才能修補關鍵漏洞。此外，「影子 AI」（Shadow AI，指未經授權或未受監管的 AI 使用）事件數量今年翻倍，且僅 41% 的企業擁有正式的 AI 治理政策，23% 監控 AI 代理，20% 監控影子 AI。

Kai 的資安長 Alfredo Hickman 認為，隨著自動化程度提高，資安專業人員需將重心轉移到設定規則、治理系統，並做出 AI 無法判斷的決策上，才能善用 AI 的不對稱優勢。