多數公司的員工早就在用 ChatGPT、Copilot、Gemini 這類工具寫信、翻譯、整理會議紀錄、改程式。下一步通常是把 AI 接上公司的資料與系統：讓助理讀信箱和共用資料夾、上網查資料、呼叫內部 API，甚至直接執行程式。風險也跟著從「員工把不該貼的東西貼出去」，擴大到「AI 讀到攻擊者藏好的指令，再用公司給它的權限去執行」。

這篇寫給員工已經在用生成式 AI、正準備把 AI 助理或代理接上公司資料的主管與 IT 人員：依序說明資料外洩與影子 AI、提示注入與 AI 代理的權限問題、攻擊者怎麼利用 AI，再整理 NIST 框架與台灣規範的現況，最後附一份公司 AI 使用政策的大綱。

員工把資料貼進 AI：影子 AI 與服務條款

2023 年 5 月，三星電子向 CNBC 證實，在發現有誤用情形後暫時限制員工在公司電腦上使用生成式 AI；彭博同日報導，有員工把敏感的程式碼上傳到 ChatGPT[1]。三星同時提醒員工，在公司以外使用這類服務時，也不要輸入任何個人或公司相關資訊[1]。這類事件通常不是蓄意洩密，而是員工想把工作做快，公司卻沒有提供核准的工具，也沒說清楚哪些資料不能貼。員工自行使用未經公司核准的 AI 服務，一般稱為「影子 AI」。

資料貼出去之後會怎麼被處理，取決於用的是哪一種帳號、適用哪一份條款。以 Google 個人版的 Gemini 為例，官方說明部分對話會由人工審查人員（包括受過訓練的外包服務商）檢視，並明白請使用者不要輸入不希望審查人員看到、或不希望 Google 用來改善服務的機密資訊[2]。關閉「保留活動記錄」且未送出意見回饋時，之後的對話不會用於改善 AI 模型，但仍會在帳號中保留 72 小時；已經過人工審查的對話最多保留三年，刪除活動記錄也不會一併刪除[2]。同一頁也提醒，用公司或學校帳號使用時，可能適用不同的資料處理條款[2]。

企業版服務的條款則不同。例如微軟說明，企業版 Copilot 的提示、回應，以及透過 Microsoft Graph 存取的資料，都不會用來訓練基礎模型，並與組織在 Microsoft 365 的其他內容一樣依合約承諾處理與儲存[3]。但企業版也帶出另一個問題：Copilot 呈現的組織資料，以使用者至少有檢視權限者為限，微軟因此提醒要善用 SharePoint 等服務的權限模型，確保對的人才看得到對的內容[3]。換句話說，使用者看得到的，AI 就可能幫他找出來：過去「分享給全公司」卻沒人找得到的薪資表或併購資料，導入 AI 助理後可能一問就出現。導入前應先收緊分享設定，做法見Microsoft 365 與 Google Workspace 安全基準設定。

OWASP 的大型語言模型應用十大風險（2025 版）把「敏感資訊揭露」列為 LLM02，範圍包括個資、財務資料、健康紀錄、商業機密、帳號憑證與法律文件；它提醒使用者，無意間輸入的敏感資料之後可能出現在模型的輸出中，並建議服務提供者在使用條款中讓使用者可以選擇不讓資料用於訓練[4]。這份清單和一般網站應用程式的 OWASP Top 10 是兩份不同的清單，後者的介紹見OWASP Top 10 是什麼。對企業來說，與其全面禁止、讓員工改用個人帳號偷偷用，不如提供核准的企業版工具，並明確規定哪些資料不能輸入（見後文政策大綱）。

提示注入與 AI 代理：AI 讀到的內容，可能就是攻擊者的指令

直接與間接提示注入

提示注入（Prompt Injection）是 OWASP 大型語言模型應用十大風險 2025 版的第一名（LLM01），指輸入的內容以非預期的方式改變了模型的行為或輸出；這些內容不必是人眼看得到的，只要模型會讀取就有效[5]。OWASP 把它分成兩種[5]：

  • 直接提示注入：使用者自己輸入的內容改變了模型行為，可能是刻意攻擊，也可能是無心造成。例如攻擊者要求客服聊天機器人忽略原本的規則，去查詢內部資料並寄出郵件。
  • 間接提示注入：模型從網站、檔案等外部來源讀進的內容夾帶指令。例如使用者請 AI 摘要一個網頁，網頁裡藏的指令讓 AI 在回答中插入一張連到外部網址的圖片，藉此把對話內容傳出去；或攻擊者竄改檢索增強生成（RAG）知識庫裡的文件，讓 AI 給出誤導的答案。

NIST 也說明，間接提示注入是攻擊者在沒有直接介面的情況下，把指令放進 AI 應用可能讀取的資料裡；研究人員已經展示過藉此竊取專有資料，或在遠端執行惡意程式碼[6]。對企業而言，AI 助理會讀的每一封外部郵件、每一個網頁、每一份客戶上傳的檔案，都可能是攻擊者下指令的管道。

更麻煩的是，這個問題目前沒有根治的方法。OWASP 直言，由於模型運作本質上的隨機性，目前並不清楚是否存在萬無一失的防範方式，能做的是降低衝擊[5]。廠商的防護也有範圍限制：微軟說明 Copilot 用分類器偵測越獄與跨提示注入攻擊（XPIA），但這些分類器不一定涵蓋所有 Copilot 情境[3]。設計時應該假設注入遲早會成功，把重點放在「成功之後 AI 能做什麼」。

AI 代理：權限決定損害有多大

AI 只能聊天時，提示注入最多讓它講錯話；一旦它能讀信、寄信、瀏覽網頁、呼叫 API 或執行程式，例如透過外掛或 MCP（Model Context Protocol）伺服器接上各種工具，被注入的指令就會變成真實的動作。OWASP 把這類風險列為 LLM06「過度代理」（Excessive Agency）：AI 因為幻覺、直接或間接提示注入，或遭入侵的外掛與其他代理，做出有害的動作；根本原因通常是功能過多、權限過大或自主性過高[7]。

OWASP 舉的例子很貼近企業現況：一個只需要摘要來信的 AI 助理，所用的外掛卻同時能寄信；一封惡意郵件透過間接提示注入，指示 AI 搜尋信箱中的敏感資訊並轉寄給攻擊者[7]。只要外掛只能讀信、以唯讀範圍的 OAuth 授權連線，或每封信都要使用者親自按下寄出，這起事件就不會發生[7]。

這不是紙上談兵。Google 威脅情報小組（GTIG）2026 年 9 月的報告指出，財務動機的攻擊者 UNC6780 入侵合法的開發者帳號，把木馬化的 MCP 伺服器分支發布到 PyPI；它的竊密程式 DUSTMAKER 還會在 AI 程式助理讀取的隱藏專案目錄中放入惡意設定檔，指示 AI 助理在開發者日常操作時執行任意命令[8]。AI 工具、外掛與 MCP 伺服器都是軟體供應鏈的一環，評估方式見供應鏈攻擊。

降低代理風險的做法

  • 最小權限：只開放任務必要的工具與功能，避免「執行任意 shell 命令」「抓取任意網址」這類開放式工具；工具連接下游系統所用的身分也只給必要權限，例如只能讀取特定資料表[7]。代理代表使用者操作時，應以該使用者的身分和最小的 OAuth 範圍執行，而不是共用一個高權限帳號[7]。
  • 高衝擊動作要人工核准：寄信、付款、刪除、對外發布、修改正式環境等動作，先由人確認再執行[5][7]。
  • 授權由系統判斷，不交給 AI：在下游系統實作授權檢查，每個經由外掛送出的請求都依安全政策驗證，而不是讓模型自己決定能不能做[7]。
  • 區隔不可信的內容：把外部網頁、郵件、上傳檔案等不可信內容和使用者的指令分開，並清楚標示來源；API 權杖由應用程式在程式碼中處理，不交給模型[5]。
  • 紀錄、監控與限速：記錄外掛與下游系統的活動以便及早發現異常，並對寄信等動作設定頻率上限，讓問題在擴大前被監控發現[7]。
  • 把模型當成不可信的使用者來測試：定期做滲透測試與攻擊模擬，驗證信任邊界與存取控制是否有效[5]。

攻擊者怎麼用 AI

GTIG 2026 年 9 月的報告指出，國家支持的團體與網路犯罪集團持續把 AI 當成「力量倍增器」，用在攻擊的各個階段：從偵察目標、撰寫社交工程誘餌，到混淆惡意程式與入侵後的除錯[8]。例如一個曾鎖定政府機關、與中國有關的間諜團體，透過工具快速切換查詢 Claude、Gemini、Codex 等模型，用來撰寫漏洞利用腳本、產生具說服力的魚叉式釣魚內容與除錯[8]。報告也提到，攻擊者用模型加快把公開揭露的漏洞轉成可用的 n-day 攻擊程式[8]，修補速度因此更加重要，排序方式見修補管理。

自動化程度也在提高。GTIG 觀察到一個財務動機的攻擊者入侵某組織的雲端環境後，在裡面部署多代理攻擊框架，不到六小時就規劃、建置並執行大規模的帳密蒐集行動，竊得數千組第三方帳密[8]。不過報告同時說明，GTIG 尚未看到攻擊者在真實環境中對目標部署完全自主的攻擊流程；在資訊操作方面，生成式 AI 帶來的是效率，沒有突破性的能力[8]。NIST 的生成式 AI 剖析也把資訊安全風險分成兩面：AI 降低了駭客攻擊、惡意程式與網路釣魚的門檻，AI 系統本身則擴大了攻擊面[6]。

對企業的實際影響有三點：

  • 詐騙更逼真：NIST 指出，多模態模型能產生高度逼真的深偽影音，也能協助攻擊者製作冒充他人的詐騙內容[6]。靠錯字或畫面破綻辨識已經不夠，防範做法見網路釣魚與商業郵件詐騙與冒名與深偽詐騙。
  • AI 資產本身就是目標：GTIG 記錄到竊密程式專門抓取 AI 程式助理設定檔中以明文儲存的 API 金鑰，也有攻擊者利用外洩的 GitHub 個人存取權杖進入雲端環境，盜用運算資源執行自己的 AI 工作負載[8]。帳密外洩的處理方式見資訊竊取程式與外洩帳密。
  • 基本功仍然有效：上述案例的起點包括被盜的開發者帳號、外洩的存取權杖與入侵的雲端環境[8]，MFA、金鑰與權杖管理、修補，依然是第一道防線。

框架與台灣規範

NIST AI RMF 與生成式 AI 剖析

NIST 的人工智慧風險管理框架（AI RMF 1.0）在 2023 年 1 月 26 日發布，供組織自願採用；2024 年 7 月 26 日再發布針對生成式 AI 的剖析（NIST AI 600-1）[9]。NIST 網站目前註明 AI RMF 1.0 正依美國白宮的 AI 行動計畫修訂中，並在 2026 年 4 月 7 日發布了「關鍵基礎設施可信任 AI 剖析」的概念說明[9]。

AI 600-1 列出 12 項生成式 AI 特有或被放大的風險，和企業資安直接相關的有：資訊安全、資料隱私、虛構內容（俗稱幻覺）、人機配置（例如過度依賴 AI）、資訊完整性，以及價值鏈與元件整合（不透明或無法追溯的第三方元件與資料）[6]。這 12 項可以直接當成導入前風險評估的檢查清單。

台灣：政府機關、金融業與上市櫃公司

國科會在 2023 年 8 月 31 日向行政院會報告《行政院及所屬機關（構）使用生成式 AI 參考指引》草案，共十點[10]。重點包括：生成式 AI 的產出須由承辦人做客觀、專業的最終判斷；製作機密文書禁止使用生成式 AI；不得向生成式 AI 提供應保密、個人及未經同意公開的資訊，封閉式地端部署的模型須先確認系統環境安全，才能依機密等級分級使用；不得以未經確認的產出直接作成行政行為，或作為公務決策的唯一依據；使用時應適當揭露；辦理採購時要求得標廠商注意本指引[10]。適用對象是行政院及所屬機關，公營事業、公立學校、行政法人與政府捐助的財團法人得準用[10]。民間企業不受拘束，但這十點很適合拿來當自家政策的骨架。

《人工智慧基本法》在 2026 年 1 月 14 日公布，自公布日起施行，全文 20 條，中央主管機關是國家科學及技術委員會[11]。條文主要規定政府的推動原則與分工，沒有罰則；和資安有關的是第 4 條把「資安與安全」列為政府推動 AI 應遵循的原則之一，要求在 AI 研發與應用過程建立資安防護措施[11]。第 16 條要求數位發展部推動 AI 風險分類框架，各目的事業主管機關再依此訂定以風險為基礎的管理規範；第 18 條要求政府在施行後二年內完成相關法規的制定、修正或廢止[11]。數位發展部已在 2026 年 7 月 7 日發布《人工智慧風險分類框架》v1.0，規範對象是各目的事業主管機關，產業界則可先看其中的 AI 風險類型表[12]；各產業的具體管理規範，要由主管機關依框架另行訂定。

金融業方面，金管會在 2024 年 6 月 20 日發布《金融業運用人工智慧（AI）指引》，屬行政指導性質[13]。指引建議金融機構對自身較無控制權的部分，透過契約與合作廠商明訂風險監控的責任分工；使用第三方開發的生成式 AI 而無法掌握其訓練過程時，對產出仍須由人員做客觀、專業的管控[13]。2026 年 10 月 13 日，金管會再發布《金融業運用代理AI安全諮詢文件》，徵詢意見 30 天：建議以「應用場景」為管理單位，釐清可取用的資料、可呼叫的工具、可執行的動作與輸出目的地；以資料敏感度、動作影響、能力邊界三個面向分級；並把代理 AI 視為具行動能力的非人類身分與工作負載，依零信任的最小權限與可追溯原則控管[14]。這目前只是諮詢文件，金管會也說明它不取代現行法令與內控要求[14]，但思路值得非金融業參考。

上市櫃公司要注意證交所 2026 年 11 月修正的《上市上櫃公司資通安全管控指引》：修正條文對照表日期為 115 年 11 月 9 日，第三十八、三十九條都是新增條文[15]。第三十八條規定，使用 AI 系統或服務若涉及核心業務、機敏性資料，或可以介接、操作、異動或觸發資通系統功能，應依業務性質及風險程度採取下列措施[16]：

  1. 衡量採行數位發展部的「人工智慧風險分類框架」，或所屬產業主管機關發布的 AI 指引。
  2. 宜訂定員工使用 AI 系統或服務的安全規範，並對未經授權的使用採取適當管理措施。
  3. 導入、開發或重大變更 AI 系統時，依風險程度辦理安全評估或測試、定期檢視模型運作，並落實 AI 模型與第三方元件的供應鏈風險管理。
  4. 運用代理 AI 時，限制其用途、資料、工具、目的地及執行權限；對核心業務、機敏性資料或資通系統有重大影響或不可逆的自動化操作，建立人工核准、安全護欄或其他控制機制。
  5. 依風險程度建立監控及紀錄機制，以追溯重要操作、行為偏離及異常事件。

第三十九條則說明，只用於查詢、摘要、翻譯、教育訓練、內部草稿等低風險輔助用途，且不涉及前條情形的 AI，依既有的資安管理措施辦理即可[16]。對照表列出的參考文件包括數位發展部的框架、金管會的兩份文件、經濟部產業發展署的《製造業AI導入指引》、ISO/IEC 42001:2023，以及 NIST AI RMF 與 AI 600-1[15]。指引第四十四條允許公司依產業特性、規模與資安風險適度採行[16]；其他章節的修正見上市上櫃公司資通安全管控指引。

公司 AI 使用政策大綱

不論是否受上述規範拘束，公司都應該有一份書面的 AI 使用政策。以下大綱參考行政院參考指引、OWASP 與證交所新條文整理，可依公司規模增減：

  1. 適用範圍與核准工具：列出核准的 AI 服務、版本與帳號類型，要求以公司帳號登入；個人帳號適用的資料處理條款和企業版不同[2][3]，不得用來處理公司資料。新的工具、外掛與 MCP 伺服器須先經資安評估才能使用。
  2. 絕對不能輸入的資料：例如機密文件與營業秘密、個人資料、客戶資料、帳號密碼與 API 金鑰、尚未公開的財務資訊與重大訊息。行政院指引對公務機密與個資的禁止規定可以直接比照[10]；經過評估的企業版或地端部署工具，再依資料分級逐步開放。
  3. 產出審查：使用者對產出負最終責任，不得未經確認就作為決策的唯一依據，必要時揭露有使用 AI[10]。對外文件在發出前由人審閱，AI 產生的程式碼同樣要走既有的程式碼審查與安全檢測流程。
  4. AI 代理與外掛的權限：每個代理、外掛或 MCP 伺服器都要登記用途、可存取的資料、可呼叫的工具、權限與負責人，採最小權限；寄信、付款、刪除、變更正式環境等動作須經人工核准[7][16]。
  5. 紀錄與監控：保留提示、回應與工具呼叫紀錄，以便追溯重要操作與異常[16]。以微軟為例，管理者可用 Content search 或 Microsoft Purview 檢視這些紀錄，並設定 Copilot 互動紀錄的保存原則[3]；保存期限的訂法見日誌該記什麼、要保存多久。
  6. 事件通報：員工誤把機密或個資貼進未核准的 AI，或 AI 代理做出非預期的動作時，要知道向誰回報、多快回報；涉及個資時依個資外洩應變程序處理。
  7. 採購與委外：要求廠商遵守公司的 AI 使用規範，行政院指引第八點也有類似要求[10]；並在契約中明訂 AI 服務的資料使用、保存與風險監控責任分工[13]。
  8. 教育訓練與定期檢討：把影子 AI、提示注入與 AI 生成的釣魚納入年度資安宣導，並至少每年檢討一次核准清單與政策內容。

行動清單

  • 盤點員工實際在用的 AI 服務與瀏覽器外掛，區分公司核准與個人帳號。
  • 提供至少一個核准的企業版 AI 工具，確認合約不以公司資料訓練模型，並以公司帳號集中登入。
  • 發布 AI 使用政策，列出絕對不能輸入的資料類別，納入新進人員與年度資安宣導。
  • 導入企業 AI 助理前，先清查 SharePoint、OneDrive、雲端硬碟與 Teams 的全公司分享與外部分享。
  • 為每個 AI 代理、外掛與 MCP 伺服器建立清冊：用途、資料、工具、權限、負責人；移除用不到的項目。
  • 寄信、付款、刪除與正式環境變更一律設人工核准，代理只給唯讀或最小範圍的授權。
  • 開啟並保存 AI 服務的稽核紀錄，接上既有的監控與告警。
  • AI 服務的 API 金鑰集中保管、定期輪替，不放在程式碼或明文設定檔中。
  • 上市櫃公司對照證交所指引第三十八、三十九條，區分高風險與低風險的 AI 用途，並向管理階層報告。
  • 對內部的 AI 應用做提示注入測試；需要外部檢測時，可參考弱點評估服務。