(文：陳宣宏博士）
必維集團驗證事業部(Bureau Veritas Certification，以下簡稱BV)即日起提供資安暨AI週報，定期彙整台灣與全球重要資安事件、最新法規動態、產業趨勢及資訊安全相關議題，協助企業即時掌握資安風險與管理重點，強化組織資訊安全韌性。
本週資安焦點可歸納為四大主軸：後量子密碼遷移正式進入企業規畫期、AI開始直接改變OT與多代理系統的威脅型態、身分驗證系統持續成為高價值攻擊目標，以及軟體供應鏈與關鍵設備安全風險持續升高。相較過去單純關注惡意程式與漏洞，本週事件更凸顯企業應從「單點修補」轉向架構、身分及供應鏈層級的整體治理。
PQC不再只是未來議題，企業應開始盤點密碼資產
Google Cloud公布後量子密碼學（PQC）遷移路線圖，規畫2027年底前優先降低「先竊取、後解密」（Harvest Now, Decrypt Later）風險，先從VPN及資料傳輸通道著手，2028年再擴展至身分驗證、數位簽章與金鑰管理，並朝2029年前完成主要PQC轉型。這代表目前即使量子電腦尚無法立即破解主流加密，具有長期價值的敏感資料仍可能先被攻擊者蒐集保存，等待未來解密。[1]
對企業而言，目前最實際的工作並非立刻更換所有加密演算法，而是先建立密碼資產盤點、Crypto-agility及遷移優先順序，確認VPN、TLS、憑證、PKI、數位簽章及長期保存資料所使用的演算法與金鑰生命週期。
AI安全從提示注入進一步走向「代理間傳播」
Anthropic研究揭露新的多代理AI風險：特定想法、目標或指令可能形成所謂「AI心智病毒」，受影響的AI代理除了改變自身行為，還可能主動將相關指令傳遞給其他代理，甚至寫入設定檔，使影響在原始對話被清除後仍持續存在。研究也指出，目前此類風險仍有限，但當企業開始採用多個AI Agent共同執行工作時，代理之間的信任關係與訊息傳遞本身將成為新的安全邊界。[2]
因此，AI治理不能只檢查使用者輸入是否含惡意Prompt；未來還需要管理Agent-to-Agent通訊、持久化記憶、工具權限及設定檔異動，避免一個代理遭影響後向整個AI工作流程擴散。
AI已被用來加速OT攻擊工具開發
美國CISA、NSA、FBI等單位警告，攻擊者正利用AI產生Python攻擊腳本，鎖定Siemens S7系列PLC。攻擊者透過Censys、ZoomEye等服務搜尋直接暴露於Internet、軟體過時或驗證薄弱的PLC，再利用相關工具存取PLC記憶體、設定及控制邏輯。受影響範圍涉及製造、能源、水務、化工等關鍵基礎設施。[3]
這項發展值得OT環境特別注意：AI並沒有創造全新的PLC弱點，而是顯著降低攻擊工具開發與偵察的成本。 因此，資產盤點、禁止PLC直接暴露Internet、網路分區、更新韌體及監控異常S7通訊等既有控制措施，重要性反而更高。
身分系統與登入機制持續成為高價值攻擊面
Microsoft本週修補Entra ID重大遠端程式碼執行漏洞CVE-2026-69836，相關資訊顯示漏洞已遭實際利用。Entra ID作為企業Microsoft雲端環境的核心身分服務，一旦身分層受到攻擊，其影響可能進一步延伸至其他雲端應用及企業資源。[4]
同一時間，攻擊者也開始利用大眾對ChatGPT、Claude、Copilot及Perplexity等AI品牌的信任散布資訊竊取程式、後門及惡意瀏覽器擴充套件。[5] 這提醒企業，生成式AI普及後，傳統社交工程的包裝正快速轉變，「AI工具」本身已成為新的誘餌。
軟體供應鏈與設備安全仍不可忽視
供應鏈方面，攻擊者污染Rust生態系中的arrayref套件版本，加入可從遠端取得惡意Payload的相依元件，相關活動被指與北韓駭客有關。[6] 此類事件再次說明，企業不能只掃描程式碼本身，還必須管理Package Repository、第三方Dependency、版本來源與建置環境。
臺灣方面，本週亦出現值得關注的正面發展——全球首座SEMI E187資安檢測實驗室在臺啟用。[7] 對高度依賴自動化設備與全球供應鏈的半導體產業而言，可視為設備資安要求逐步由採購規格走向可驗證、可測試的重要訊號。
本週觀察
本週最大的共同趨勢是：企業的「信任邊界」正在快速擴張。
過去資安主要保護帳號、電腦與網路；現在則必須同時信任AI代理、開源套件、雲端身分系統、OT設備與密碼基礎架構。任何一個環節遭利用，都可能成為進入整個企業環境的跳板。
因此，接下來企業資安治理值得優先關注四件事：啟動PQC與密碼敏捷性盤點、建立AI Agent權限及通訊治理、將Identity視為核心安全邊界，以及把軟體與OT供應鏈納入持續風險監控。 對採用ISO 27001管理架構的企業而言，這些議題也應逐步反映到風險評鑑、供應商管理、技術弱點管理及資安監控機制中。
面對日益複雜的資安威脅與快速發展的 AI 應用，企業更應建立系統化的管理機制。必維集團 Bureau Veritas 為全球知名的第三方驗證機構（Certification Body），提供：
- ISO/IEC 27001 資訊安全管理系統（ISMS）驗證
- ISO/IEC 27701 隱私資訊管理系統（PIMS）驗證
- ISO/IEC 42001 人工智慧管理系統（AIMS）驗證
- 資訊安全治理評估與教育訓練
- AI 治理與風險管理相關服務 (負責任的AI)
透過獨立第三方驗證，協助企業建立可信賴之管理系統，提升資訊安全、個人資料保護及人工智慧治理成熟度，以因應快速變化的數位風險環境。
參考
[1] https://www.ithome.com.tw/news/178347
[2] https://www.ithome.com.tw/news/178263
[3] https://www.bleepingcomputer.com/news/security/us-warns-of-ai-powered-attacks-on-siemens-plcs-in-critical-infrastructure/
[4] https://www.helpnetsecurity.com/2026/08/21/microsoft-entra-id-vulnerability-cve-2026-69836/
[5] https://www.helpnetsecurity.com/2026/08/21/ai-brand-impersonation-malware-malware-research/
[6] https://www.securityweek.com/rust-supply-chain-attack-linked-to-north-korean-hackers/
[7] https://www.ithome.com.tw/news/178348
作者簡歷
- 必維集團驗證事業部大中華區ICT產品經理