AI資安政策進入驗證階段，年底三家機關進度能否落地？

 

AI威脅加速演化，國家資安導入自動化防禦

國家資通安全研究院10月5日宣布，將以「以AI對抗AI」推動四項資安防禦工作。政策方向涵蓋程式開發、攻防演練、威脅情資與測試環境，目標是縮短漏洞發現到完成處置的時間。

第一個近期里程碑落在今年底。資安院預計完成至少三家政府機關的核心系統驗證，藉此確認自動化檢測與防護能否在公部門環境運作。三家機關驗證進度，會是觀察政策執行力的第一個具體指標。

AI讓攻擊者更容易批次產生惡意程式、尋找漏洞及製作釣魚內容，防禦端若持續依賴大量人工判讀，處理速度容易落後。資安院這次的策略，代表政府開始把AI放進日常防禦流程，讓系統先處理大量重複工作，再由資安人員介入高風險事件。

 

四項防護工作涵蓋開發、演練與威脅情資

第一項工作是導入AI自動化原始碼檢測與修補。原始碼檢測就是在軟體開發階段掃描潛在漏洞，提早處理弱點，可以降低系統上線後的修補成本與暴露時間。這一環直接連到政府資訊系統的開發商、維護商及程式碼安全工具。

第二項工作預計在2027年4月正式導入自動化滲透測試與實戰演練，對重要線上服務進行攻防模擬。滲透測試會模擬攻擊者入侵系統，檢查身分驗證、權限控管及應用程式漏洞。2027年4月正式導入，比單純提出政策方向更接近實際部署。

另外兩項工作預計在2027年推出初步版本，包括全球威脅情資自動分析系統，以及國家級資安攻防沙箱。威脅情資系統負責整理全球攻擊手法、惡意程式與漏洞資訊；沙箱則提供隔離環境，用來測試可疑程式及進行攻防演練。

四項工作串起一條完整防線：開發階段先找漏洞，服務上線後持續測試，外部威脅由情資系統追蹤，攻擊樣本再放進沙箱分析。若各系統後續能交換資料，自動化防禦的效率才有機會逐步提升。

 

民間企業開始建立產品安全應變機制

國家資安防禦也將延伸到民間企業。資安署署長蔡福隆表示，今年目標是協助三十家企業建立產品安全事件應變小組。這類小組通常負責接收漏洞通報、判斷影響範圍、協調修補，並對客戶發布安全更新。

三十家企業完成建置，可以用來觀察政策是否從中央機關擴散到產品供應鏈。台灣科技業大量參與網通設備、伺服器及電子製造，單一產品漏洞可能沿著客戶與供應商關係向外擴散。企業建立固定應變流程，有助於縮短通報與修補時間。

資安院院長龔化中曾在啟碁(6285)、智邦(2345)與仁寶(2324)從事研發管理，相關經驗有助於理解科技業的產品開發與供應鏈協作。不過，目前公告內容沒有揭露這三家公司參與計畫或取得訂單。公司名稱在此代表院長的產業履歷，無法直接當成個股受惠證據。

 

投資判斷先追蹤驗證、預算與採購

若從投資角度拆解，需求目前停在政策推動與系統驗證階段。後續要轉成產業營收，還需要明確預算、採購規格、標案規模、得標廠商及維護合約。少了這些資訊，現階段較適合確認產業方向，難以推導特定公司的營收貢獻。

可能涉及的能力包括程式碼安全、自動化滲透測試、威脅情資分析、沙箱設備及資安事件管理。不同環節的商業模式差異很大，有些採軟體授權，有些來自專案建置與顧問服務，還有部分收入會落在後續維運。毛利率與營收認列速度也會因此分化。

我會把政策里程碑與商業訂單分開記帳。今年底三家政府機關完成核心系統驗證、今年三十家企業建立應變小組，是近期執行指標；2027年4月的自動化攻防演練，以及兩套系統初步版本，則是下一階段的技術指標。

目前可以確認的是，政府已把AI資安從研究方向推向驗證與部署。國內資安產業鏈能否形成長期成長，仍要看試點成果能否擴大、政府採購是否延續，以及企業是否把產品安全應變納入固定預算。這三項證據逐步出現後，政策需求才有機會沉澱成可追蹤的營收。