國家資通安全研究院（資安院）轄下的 TWCERT/CC 於 11 月 3 日舉辦第十屆「台灣資安通報應變年會」，主題是「迎戰 AI 威脅 強化智慧應變」。資安院通報應變中心主任孫偉哲在會中呼籲推動「產品安全事件應變團隊」（PSIRT），要求軟硬體原廠對自家產品漏洞負起修補與通報責任；會中講者也點出 AI 讓攻擊速度大增，防守方的修補時間被大幅壓縮。
事件經過
- 時間地點：2026 年 11 月 3 日，臺大醫院國際會議中心 401 廳，實體與線上同步（TWCERT/CC 活動公告、ivendor 議程頁）。
- 議程重點：開場由中華資安國際劉叡協理談「AI Agent 自主式攻擊帶來的新型資安威脅」，孫偉哲主任發表「TWCERT/CC 年度成果分享與願景」，另有奧義智慧、TeamT5、Google Cloud、遠傳、趨勢科技、華碩等講者。
- PSIRT 呼籲：孫偉哲表示，找漏洞的速度會愈來愈快，修補必須由原廠先出 patch，用戶端才能跟著修；資安院現階段先推動政府部門的系統供應商建立資安應變機制（程序、組織與人力），之後再朝制度面推進（公視、經濟日報皆有報導）。
- 信任邊界轉移：劉叡指出，從近期案例來看，信任邊界已從「網路邊界」移到「憑證與工具」，駭客愈來愈多是偷帳號憑證，而不是硬打網路漏洞（公視）。
重點
| 項目 | 內容 | 查證狀態 |
|---|---|---|
| PSIRT 推動 | 先從政府共同供應契約／政府系統供應商著手，要求原廠負起漏洞修補與透明通報 | 公視＋經濟日報 |
| 系統弱點超越勒索軟體 | 今年威脅來源中「系統弱點」首度超越勒索軟體，通報與對外情資近五成與產品安全、系統弱點相關 | 未核實（目前僅經濟日報報導） |
| CVE 審核數量 | 今年 1～9 月 TWCERT/CC 審核 CVE 146 件，過去兩年同期約 100 件 | 未核實（目前僅經濟日報報導） |
| 情資自動交換 | 規劃 12 月啟動 STIX 2.1 自動化情資交換測試，明年 1 月正式上線 | 未核實（目前僅經濟日報報導） |
| AI 自動化攻擊 | 學者舉例 ARTEX 框架 1 分鐘內嘗試登入 Microsoft 365 帳號逾 2,900 次 | 未核實（目前僅公視報導） |
- 會中多位講者的共同結論：AI 讓漏洞挖掘、攻擊腳本生成與大規模掃描變便宜，攻擊鏈從「天」縮短到「小時」，傳統「排程一週再修」的節奏已經跟不上。
- 經濟日報引述孫偉哲另指出，API 暴露與權限混淆是今年新的重災區：服務放上網路後，API 呼叫與身分驗證沒有嚴格綁定，容易被 AI 工具探測後直接呼叫（未核實，僅單一媒體報導）。
對你的實務建議
企業／IT 管理者
- 先做暴露面盤點：列出所有對外服務、管理介面、VPN、API 端點，非必要的連接埠與管理頁面一律關閉或改走 VPN／零信任存取。
- 重新定義修補 SLA：已被列入 KEV 或有公開 PoC 的高風險漏洞，目標改為「當天熱修補或先上虛擬補丁（WAF／IPS 規則）」，不要再等每月例行維護窗口。
- API 認證與授權分開檢查：每個 API 端點都要確認「誰能呼叫」與「呼叫後能拿到哪些資料」，避免通過登入後就沒有物件層級的權限控管（BOLA）。
- 把憑證當成邊界來守：M365／Google Workspace 等雲端帳號啟用防釣魚 MFA（FIDO2／Passkey）、條件式存取，並監控短時間大量登入失敗。
- 採購時問供應商有沒有 PSIRT：在合約中寫明漏洞通報窗口、修補時程與通知義務，尤其是外包維運與政府共同供應契約廠商。
- 加入 TWCERT/CC 情資分享：民間企業可向 TWCERT/CC 通報事件、訂閱情資；若之後 STIX 2.1 自動化交換正式上線，可評估讓 SIEM／SOAR 直接接入。
一般用戶
- 手機、電腦、路由器開自動更新：攻擊者利用漏洞的速度愈來愈快，更新延後就是讓風險延長。
- 重要帳號都開兩步驟驗證：能用 Passkey 就用 Passkey，避免帳號密碼外洩後直接被登入。
- 家中 NAS、監視器不要直接對外開放：需要遠端存取就用廠商官方的安全連線方式或 VPN，並更換預設密碼。
- 收到「資安通知」先查證：近期多起外洩事件後，假客服、假補償通知會變多，不明連結不點，有疑慮撥 165。
發表留言