AI驅動攻擊與鎖定AI系統的攻擊來勢洶洶，近兩千位全球企業高層有超過一半坦承無法招架

AI的普及為企業帶來顛覆市場的機會，但接踵而至的內部管理挑戰同樣令人擔憂，四大會計師事務所之一的資誠（PwC）10月初發布的2027全球數位信任洞察報告，AI已成為企業安全的首要議題，84%受訪者預期資安相關預算將增加， 58%受訪者將AI列為主要投資項目；對於量子運算安全，近半數（49%）尚未開始準備；為了專門因應網路威脅，已完全正式制定營運持續性計畫的企業只有39%。

這份報告調查的對象，橫跨71國、3,934位企業高階主管與資訊部門主管，結果顯示，在各類網路威脅中，AI已成為最大挑戰，而在1,819位AI總監、資訊長、資訊安全長、安全長、技術長，以及相當於總監／副總裁／部門主管職位的受訪者當中，有半數認為目前最難以做好應變準備的危機，正是針對AI系統發動的攻擊，其次是雲端相關威脅（40%）、第三方資料外洩（34%）以及勒索軟體（33%）。資誠認為，企業AI系統的安全防護議題快速受到重視，已成為最迫切的防備缺口，突顯資安防護絕不能被視為與部署速度相互對立的選擇。

在此同時，隨著AI能力的快速進步，這項防備缺口所帶來的風險變得更危急。例如，頂尖AI模型如今已能極其精準地發現先前未知的軟體漏洞，而且能在幾乎無需人工干預的狀態下，透過複雜的攻擊路徑利用這些弱點。

由於頂尖AI已逐漸改變整體資安威脅的態勢，企業對於AI驅動的攻擊日益感到擔憂，也反映在資誠這份調查結果中，因為當1,976位全球高階資訊與資安主管被問到「未來1年最缺乏因應準備的5種AI驅動攻擊」，答覆比例最高的前三大類型分別是：遭自主殭屍網路入侵（compromise by autonomous botnets），比例為53%；對抗性攻擊（adversarial attacks，透過細微改動輸入來操縱 AI 系統，使其產生錯誤輸出），比例為52%，以及資料中毒（data poisoning，將誤導資料引入訓練資料集，以破壞 AI 模型），比例為52%。

在資安支出方面，有高達84%的受訪者預期2027年的網路安全預算將增加，相較於去年高出6%，而且AI就是首要投資重點，因為當中有高達58%的企業將 AI列為網路安全預算的首要優先事項，其次是雲端服務安全（46%）、資料保護／資料信任（39%）、網路安全與零信任（35%），以及威脅管理（33%）。

而在AI相關的優先投資項目中，「負責任的AI治理與合規」名列第一（42%），其次是平臺強化（38%）和供應鏈安全（35%）。

至於影響企業來年網路安全支出優先順序的因素，約有一半（51%）將「資料保護與信任」列為首要選擇，其次是防範AI驅動的攻擊（46%），以及保護AI與自主代理（45%）。

資誠表示，在網路安全預算連續數年維持相對平穩之後，各組織正加倍投資，以因應不斷演變的威脅，但這種擴增投資的作法，能否真正轉化為企業韌性，仍有待觀察。

同時，由於資安威脅變化速度太快，許多公司無法獨自應對，因此正在引入網路安全代管服務（優先投資的比例為31%，排名第六），將資安防護從間歇執行提升為持續啟動（always-on）。資誠認為，網路安全代管服務受到重視的另一個因素，在於組織面臨專業網路安全與AI人才短缺，因此，AI與雲端服務也名列企業2027年投資代管服務的前兩大領域，比例分別是53%與49%，其次則是資料保護與信任（42%），以及威脅管理（39%）。

除了AI，資誠也觀察到地緣政治正在改變網路風險態勢，特定國家透過網路攻擊，持續進行滲透、竊取，以及局部干擾與破壞，以推進其戰略目標，這些行動對數位與實體環境的影響範圍不斷擴大，OT與實體基礎設施正同時成為實體攻擊（kinetic attack）與網路攻擊的目標。而在資誠這份調查中，有半數受訪者正在調整供應商、第三方及供應鏈風險管理措施，有49%著手調整資安保險、事件應變與危機管理規畫，以強化抵禦地緣政治威脅的能力。

另一個逐漸受到企業重視的資安議題就是量子運算風險，資誠這份調查指出，它是企業最缺乏因應準備的第七大威脅，然而，單就資安長而言，他們將其列為第四大關切的威脅，資誠認為，這顯示最接近網路風險的人，已意識到更迫切的準備需求。

事實上，企業普遍採用抗量子安全技術將需要數年之久，意味著企業應從現在開始準備，才能在Q-Day到來時具有足夠的因應能力，但真正以整體方式進行準備的組織少之又少。資誠的調查指出，只有21%的企業正在實施量子安全措施，另有將近一半（49%）甚至尚未開始；在已開始探索抗量子安全措施的組織中，只有約三分之一正在推行關鍵計畫，例如成立專責的量子團隊及盤點密碼學資產；而在資誠調查的六項量子就緒計畫當中，全面實施安全措施的企業比例僅有5%。

許多企業都知道資安的終極目標，在於即使發生IT服務中斷的情況，仍能使業務持續運作， 但資誠的調查顯示，僅有39%的受訪者表示，其專門因應網路威脅的持續性計畫已完成制定，另有 23% 根本沒有正式計畫。

當企業遭受網路攻擊或地緣政治中斷之後，能夠維持關鍵營運，或迅速恢復這些營運，是基本的安全職能。資誠認為，正式計畫只是起點，企業營運韌性不僅在於將標準流程寫成文件，也要求將業務持續、技術復原與危機應變整合到日常營運中，並在事件發生前定期測試，他們建議，企業必須界定「最低可行公司（minimum viable company）」，這意指讓組織在中斷期間仍能維持運作所需的基本能力集合，有助於確立必須優先維持或恢復的營運項目。