資安院長何全德：以「CA＋Abuse」強化GenAI風險治理

資安院何全德院長於DIGITIMES首屆資安峰會分享主題演講「新世代AI對資安治理的挑戰與契機」。DIGITIMES攝

據KPMG 2024全球CEO調查報告顯示，隨著科技迅速發展、數位／淨零雙軸轉型浪潮席捲，導致72%的CEO坦言要確保企業長期繁榮的壓力驟增，因而紛紛簇擁生成式AI（GenAI），促使AI Agent躍為當今最火紅議題。

國家資通安全研究院院長何全德於9月25日至9月26日由DIGITIMES所舉辦的資安峰會中提到，「GAI帶給人類前所未有的效率、效能與智力的全面鉅變，所以臺灣亟欲將此技術應用推向各行各業」，AI沒有做不到、只有想不到，它將引發眾多創意，為臺灣帶來絕佳機遇。比方說藉助不同AI方案助益永續發展，乃至協助百工百業解決過往滯礙難解的問題。

何全德說，儘管科技為人類帶來進步，但同時帶來風險，所以各行各業導入AI時切記兩個S，一是Speed、另一是Security，二者皆須兼顧。換言之GenAI風險治理課題著實至關重要，當我們推動AI時，要設法安全地利用AI潛力，且最大限度降低相關風險。

那麼深具潛在變革性優勢的GenAI，與傳統軟體相比，究竟可能帶來哪些獨特或加劇的風險？具體來說，傳統軟體基於程式邏輯，人們很容易預測其輸出；反觀動輒以數千億參數產生的大語言模型（LLM），無人能掌握它如何應運而生，若攻擊者用不準確資訊毒害訓練數據，恐導致人們做出災難性決策。

鑒於此，主要國家和組織正協力合作，期望界定AI風險，以利執行分類分級治理。最顯著之例，在於MIT近期成立AI Risk Repository，將風險劃分為43個架構，並已發現逾700項風險。歐盟亦以風險管理為基底，頒布人工智慧治理法案。這些都為臺灣帶來莫大啟發，若欲制定AI治理法規，應審慎思考其彈性與範圍，要保護人民基本權益、或促進產業發展。

何全德認為，不管談到GenAI或Predict AI風險治理，除應關注傳統資訊安全CIA要領外，另須留意Abuse或Misuse問題。譬如需要思考如何解決AI幻覺「不盡真確」的議題，及如何確保AI系統與人類價值對齊的議題。

數發部援引NIST的「有效與可靠是AI可信任的基石」論點，已經在2023年委託工研院與資安院合作催生AI產品與系統評測中心。此外高度關注2024 RSA大會呈現的資安產業AI化趨勢，包括「AI驅動資安防護是產業創新應用主流」、「資安營運暨監控中心（SOC）智慧化儼然市場主角」等關鍵課題，亟思利用AI加強分析與預測威脅情資、偵測異常行為，乃至實現自動化安全測試及事件調查。

總括而論，擁抱AI時，務必睜大眼睛，冷靜思考，謹守Think Big、Start Small與Scale Fast原則，讓臺灣逐步蛻變為征戰全球小而精強的非洲黑腳貓。