30 秒看重點
- 事件：員工因過度信賴 AI 工具，主動將公司帳密、客戶個資與源碼餵給生成式 AI。
- 意義：傳統「零信任（Zero Trust）」防護因員工的「信任轉移」而徹底破防，淪為無設防。
- 影響：台灣科技業若不防範「影子 AI」，將面臨核心專利與商業機密外洩的巨大風險。
當員工把 ChatGPT 當成萬能特助，把未公開的程式碼、客戶個資，甚至系統帳密直接貼給 AI 幫忙除錯或整理時，企業原本花費重金建構的「零信任（Zero Trust）」資安防線，正悄悄淪為形同虛設的「Null Trust（無信任）」。
AI 到底怎麼成為企業資安的最美糖衣？
在追求效率的職場環境中，生成式 AI 已經成為員工不可或缺的「神隊友」，但也成了資安人員的最大惡夢。奧義智慧（CyCraft）共同創辦人邱銘彰（Benson）近期指出，過去的資安防禦邏輯是「假設內部網路也不安全」，因此推動零信任架構，對每次存取進行嚴格驗證。然而，當員工「主動」將機密資料複製、貼上給外部的 AI 模型時，這條防線就出現了致命的破綻。因為這套行為走的是合法的瀏覽器加密通道（HTTPS），對象是合法的 OpenAI 或 Anthropic 伺服器，傳統的防火牆與端點偵測系統（EDR）根本不會報警，這就是「信任轉移」帶來的隱形危機。
更令人擔憂的是，這種洩密往往是無意識的。工程師為了快點找出程式 bug，把整段包含 API 金鑰（Token）或後台帳密的日誌（Log）直接餵給 AI；人資為了寫考績，把員工的個資與薪資條貼給 AI 整理。邱銘彰直言，這種將所有權力拱手讓給外部 AI 的行為，讓「Zero Trust」直接退化成「Null Trust」——企業對資料的流向完全失去控制，連誰洩漏了什麼都無從得知。
台灣怎麼看這件事？
台灣作為全球半導體與高科技製造的重鎮，智慧財產權（IP）就是企業的生命線。許多台灣中小型製造業與科技廠，為了追趕數位轉型潮流，鼓勵員工使用 AI 提升效率，卻忽略了「影子 AI（Shadow AI）」的資安配套。一旦關鍵製程參數、晶片設計圖或客戶供應鏈資料被員工不小心餵給了公共 AI 模型，並被作為訓練素材，未來競爭對手只要透過精準的提示詞（Prompt），就可能在無意間「套出」台灣企業的商業機密。台灣企業必須立刻從「防範外部駭客」的單一思維，轉變為「控管內部 AI 使用權限」的雙軌防護。
編輯觀點
水能載舟，亦能覆舟；AI 能幫員工省下大把時間，也能在幾秒內搬空公司的資產。企業資安主管不能一味採取「全面禁用」的消極態度，因為這只會逼員工私底下偷偷使用，形成更難追蹤的影子 AI。正確的做法是「化暗為明」，企業應建構專屬的私有 AI 管道（如 Azure OpenAI 企業版），並透過資料防洩漏（DLP）技術過濾敏感字詞，在效率與安全之間找到黃金平衡點。
常見問題
- Q1：什麼是「Null Trust」（無信任）危機？
- 這是資安專家邱銘彰提出的警示，意指員工因過度信任 AI，主動將帳密與機密資料奉送給 AI 繞過企業防護，讓「零信任（Zero Trust）」機制徹底失去作用。
- Q2：為什麼傳統防毒軟體攔不住員工把機密貼給 AI？
- 因為員工是透過合法的網頁與帳號進行操作，傳輸路徑完全合規，傳統防毒軟體無法辨識傳送出去的「文字內容」是否包含公司機密。
- Q3：員工輸入給 AI 的資料，真的會被拿去訓練嗎？
- 如果是使用免費版或個人版的 AI 工具，服務條款通常允許系統收集資料進行模型訓練；只有企業級（Enterprise）或使用 API 串接的版本，才通常保證不留存訓練。
- Q4：什麼是「影子 AI」（Shadow AI）？
- 指員工未經企業 IT 部門授權、評估與監控，私自使用外部 AI 工具來處理公務的行為，是目前企業資安防護的最大盲區。
- Q5：企業該如何防止員工不小心洩漏機密給 AI？
- 應引進企業專屬且有資安合規保障的 AI 工具，並在終端部署資料外洩防護（DLP）系統，阻斷包含帳密、身分證號等敏感欄位的複製貼上行為。
名詞小教室
- 零信任架構 (Zero Trust)
- 就像是科技園區的嚴格警衛，不論你是總經理還是訪客、不論你在大樓內還是大樓外，每一次進出門都必須重新刷卡、驗證身分，絕不盲目信任。