企業導入AI面臨哪些資安風險？從 AI測試事件看AI Security與供應鏈安全新挑戰

(中央社財經訊息服務20260923 16:52:13) Mend.io透過AI-BOM能從應用程式中識別AI資產，掌握AI的使用情況與來源。

Mend.io透過AI-BOM能從應用程式中識別AI資產，掌握AI的使用情況與來源。

生成式AI快速進入企業開發與營運流程，隨著AI模型的能力持續提升，企業面臨的AI Security風險也從模型本身，進一步延伸至模型所能取得的權限、可連接的系統與實際執行環境。近期接連傳出的AI安全測試事件引發各界關注，AI模型被發現可能突破原有的環境限制，連線至外部企業系統，甚至修改系統設定，反映出企業在導入AI模型時，除了關注模型本身的安全性，也需要重新檢視模型所能取得的權限、可連接的系統與執行環境。

另一方面，若企業開始導入開放權重AI模型，模型本身也逐漸成為軟體供應鏈管理需要關注的一環。近期相關安全觀察顯示，不同模型在抵禦提示注入與越獄攻擊的能力存在明顯差異，模型效能並不代表其安全性；此外，「開放權重」也不等同於「開放原始碼」，企業未必能掌握模型的訓練資料、開發流程與來源背景，模型檔案本身也可能衍生供應鏈安全風險。因此，企業在導入AI模型時，除了評估模型效能與使用情境，也需要將模型來源、檔案安全與供應鏈風險納入AI Security管理。

叡揚資訊長期深耕AppSec領域，其代理的Mend.io透過AI-BOM不只能盤點AI模型，而是能從應用程式中識別AI模型、Agent、System Prompt、Tools與MCP等AI資產，建立不同資產之間的關聯性，協助企業掌握AI的使用情況與來源，進一步辨識未被納管的AI資產及潛在風險，讓AI安全管理從「資產盤點」逐步延伸至「風險管理」。同時，AI Security也不應與既有的應用程式安全切割，除了協助企業掌握AI模型、Agent 與相關資產，也進一步提供AI行為偏差驗證與AI Guardrails等能力，從AI資產盤點、風險辨識到安全測試與防護，延伸AI Security的管理範圍。搭配Mend.io既有的SAST、SCA、Container Security等AppSec能力，企業可在原有的應用程式安全管理基礎上，逐步將AI納入開發生命週期與安全管理流程。

叡揚資訊表示，面對AI應用快速發展，企業需要的不只是工具導入，更需要從自身開發環境與使用情境出發，釐清AI資產、資料流與使用方式，評估模型及相關元件可能帶來的安全與供應鏈風險。叡揚資訊憑藉長期累積的 AppSec 專業與顧問服務經驗，可協助企業從現況盤點、風險評估、解決方案規劃到導入與後續管理，將AI Security納入既有的應用程式安全架構，讓企業在持續運用AI提升開發效率與創新能力的同時，也能掌握AI進入企業環境後所帶來的安全風險。

叡揚資訊將於 10 月 21 日舉辦 Mend.io Solutions Day，分享AI Security最新趨勢與實務應用，立即報名： https://yourls.gss.com.tw/d6q4pifbs8ln

叡揚 資訊安全服務 https://www.gss.com.tw/sca

叡揚資訊安全服務，致力為各大企業及組織提供DevOps應用程式安全解決方案、顧問及整合服務，以改善資訊安全、提高企業效能為使命，全方位引進國際前瞻領導性知名品牌，目標打造提供台灣企業良好的資安平台，優質服務累積廣大的客戶群，包含醫療業、政府國營事業、金融業、壽險業、電信業、交通運輸業、製造業、高科技業等等。服務範圍 : 包括源碼檢測服務、開源碼檢測及管理、APP黑箱安全檢測、Mobile & APP自動化連續測試平台、行動應用安全保護、工具使用建置及導入建議、SSDLC整合、軟體Coding安全課程、Java解決方案等，未來也將持續引進國際頂尖資安資訊及技術，協助客戶有效提升應用系統安全強度，建立堅強資安防線。期許透過卓越的軟體與服務，帶領客戶透過IT創新提升企業產能及核心競爭力。

成立於1987年，是台灣資訊軟體業的領導廠商，於應用系統開發已有30餘年經驗，亦是區域級資訊軟體與雲端SaaS服務供應商。30多年來專注於軟體技術及應用服務，提供企業e化應用軟體、資訊治理及資訊安全、運帷服務，以及雲端與巨量資料服務等4大產品線，加乘先進的協同作業、行動化、雲端、AI、機器學習、ChatBot、大數據等前瞻技術，持續創造產品與優化服務，深獲金融業、政府、醫院、電信與製造業等2,000家海內外客戶及40,000名以上雲端使用客戶的肯定。

新聞聯絡人 叡揚資訊 公共關係 蘇聖琁(02)2586-7890 #10199