「當駭客用 AI 時,不用 AI 可能處在落後局面。」金管會這句話,不是危言聳聽,而是 2025 年 11 月台灣金融業正在面臨的真實挑戰。
過去,當軟體漏洞被公開後,防守方還有數天甚至數週的時間進行修補。但現在,隨著 Anthropic 的 Claude Mythos Preview 等前沿 AI 模型可協助漏洞辨識與滲透測試,攻擊者的速度正在加快。研究顯示,Claude Mythos Preview 具備辨識及利用部分零日漏洞的能力,並可用於滲透測試及防禦工作——這場「用魔法打敗魔法」的科技軍備競賽,已經不是科幻電影,而是資安專家正在面對的現實。
正因如此,金管會於 2025 年 11 月 12 日召開金融機構資安長聯繫會議,由副主委莊琇媛出席,對全台銀行、證券、保險業提出重要呼籲:金融機構應在風險可控下評估導入防禦性 AI,並強化 AI 風險管理。
六項重點措施,從技術到治理的全面升級
金管會在本次會議中提出六項優先落實的重點措施,並要求強化董事會與高階管理階層責任。這不只是技術層面的補強,更是一套從上到下的治理邏輯重建:
1. 掌握外部曝險及漏洞處置
運用軟體物料清單(SBOM)掌握重要軟體元件及版本,並掌握對外服務系統、API、管理介面及第三方維運入口等曝險情形,優先修補對外曝險的重大弱點。無法即時修補者,應提出替代控管方案。
2. 強化資料與高風險存取控管
落實零信任原則,強化高權限帳號、委外遠端連線及重要系統介接的身分驗證、權限管理及必要的多重驗證,並建立即時攔阻機制。零信任架構要求不再預設信任內網環境——換句話說,就算是內部人員,也不代表可以無條件通行。
3. 軟體安全開發與防禦性 AI
將安全設計納入開發流程,並在風險可控下,評估導入 AI 進行漏洞偵測與威脅情資蒐集,同時強化 AI 風險管理——也就是「以 AI 對抗 AI」的防禦策略。
4. 善用情資分享機制
透過 F-ISAC(金融資安資訊分享與分析中心)等機制共享重大漏洞情資,並強化共同供應商、雲端服務及重要軟體風險管理。供應鏈中的任何弱點都可能成為攻擊缺口,這也是為什麼情資共享如此重要。
5. 確保關鍵服務運作與復原
完善營運持續與備援復原機制(BCM/DR),針對 AI 攻擊、重要系統入侵、雲端或供應商服務中斷等情境辦理演練,並驗證緊急處置、服務降級、備援切換及復原能力。演練不是為了應付檢查,而是為了真正遇到問題時,能夠從容應對。
6. 強化董事會與高階資安治理
資安不再僅是 IT 部門的責任,而是董事會的治理議題。金管會要求明確界定決策權限、配置充足預算,落實高階管理階層的資安治理責任。
資安與合規人才需求持續成長
隨著金管會強化資安治理要求,部分金融機構依法或依監理要求設置資安長,市場對資安與合規人才的需求持續增加。具備資安合規與制度建立能力的資管、資工人才,以及經濟部 iPAS 資安證照持有者,在金融業的職涯發展機會逐漸擴大。
然而,業界也有不同聲音。有從業人員指出,若高層僅將資安視為應付檢查的成本,這些措施可能難以發揮實質效果。更現實的問題是,大型金控有充足預算導入防禦性 AI,但中小型金融機構或委外供應商的資源相對有限,資源分配不均可能讓這些單位成為駭客進行供應鏈攻擊的突破口。
資安韌性,是企業競爭力的底氣
金管會在本次會議中強調,金融機構應及早發現異常、迅速控制損害,並維持關鍵金融服務運作,以提升整體資安韌性。
這不只是法規遵循,而是一場關乎企業生存的數位進化。當駭客已經開始運用先進的 AI 工具,金融業必須同步提升防禦能力,才能在這場科技軍備競賽中保持競爭力——而這份競爭力,最終會成為企業長期穩健經營的基礎。
