資通安全法律案例宣導彙編 第3輯
英國政府於2025年1月31日發布「人工智慧網路資安實務守則」（Code of Practice for the Cyber Security of AI，以下簡稱「實務守則」），目的是提供人工智慧（AI）系統的網路資安指引。該實務守則為英國參考國際上主要標準、規範後所訂定之自願性指引，以期降低人工智慧所面臨的網路資安風險，並促使人工智慧系統開發者與供應商落實基本的資安措施，以確保人工智慧系統的安性和可靠性。 由於人工智慧系統在功能與運作模式上與傳統網路架構及軟體有明顯的不同，因此產生新的資安風險，主要包含以下： 1. 資料投毒（Data Poisoning）：在AI系統的訓練資料中蓄意加入有害或錯誤的資料，影響模型訓練結果，導致人工智慧系統產出錯誤推論或決策。 2. 模型混淆（Model Obfuscation）：攻擊者有意識地隱藏或掩飾AI模型的內部運作特徵與行為，以增加系統漏洞、引發混亂或防礙資安管理，可能導致AI系統的安全性與穩定性受損。 3. 輸入間接指令（Indirect Prompt Injection）：藉由輸入經精心設計的指令，使人工智慧系統的產出未預期、錯誤或是有害的結果。 為了提升實務守則可操作性，實務守則涵蓋了人工智慧生命週期的各階段，並針對相關角色提出指導。角色界定如下： 1. 人工智慧系統開發者（Developers）：負責設計和建立人工智慧系統的個人或組織。 2. 人工智慧系統供應鏈（Supply chain）：涵蓋人工智慧系統開發、部署、營運過程中的的所有相關個人和組織。 實務守則希望上述角色能夠參考以下資安原則，以確保人工智慧系統的安全性與可靠性： 1. 風險評估（Risk Assessment）：識別、分析和減輕人工智慧系統安全性或功能的潛在威脅的過程。 2. 資料管理（Data management）：確保AI系統整個資料生命週期中的資料安全及有效利用，並採取完善管理措施。 3. 模型安全（Model Security）：在模型訓練、部署和使用階段，均應符合當時的技術安全標準。 4. 供應鏈安全（Supply chain security）：確保AI系統供應鏈中所有利益相關方落實適當的安全措施。 「人工智慧網路資安實務守則」藉由清晰且全面的指導方針，期望各角色能有效落實AI系統安全管控，促進人工智慧技術在網路環境中的安全性與穩健發展。
知己知彼，兩岸研發經費比一比依據本（2013）年9月26日中國大陸國家統計局、科學技術部、財政部聯合發布之統計公報顯示，去（2012）年全中國投入在研究與試驗發展（R&D）之經費支出達人民幣（以下同）10,298.4億元，較前（2011）年增加1,611.4億元，成長約18.5%。而大陸地區之研究與試驗發展經費約佔其國內生產總值（GDP）之1.98%，較2011年的1.84%提高0.14個百分點。惟同期（2012年，即民國101年）我國研發經費總計為新台幣4,312.96億元，佔臺灣地區GDP比率為3.07%，較中國大陸1.98%之比率略高。 另據大陸統計公報顯示，在中國大陸10,298.4億元之研發經費內，用於「基礎研究」之支出為498.8億元，比2011年增長21.1%；在「應用研究」之經費則為1,162億元，增長13%；至於「試驗發展」經費支出則為最大宗，達8,637.6億元，增長19.2%。總體來說，大陸地區之基礎研究、應用研究和試驗發展3項，佔其研發經費總支出之比率分別為4.8%、11.3%和83.9%；而臺灣地區則是以基礎研究、應用研究及技術發展等3類為區分，在2011年時分別為9.7%、23.7%及66.6%，說明臺灣地區在基礎與應用研究2部份佔研發經費總支出之比率較中國大陸為高。 然而相關研發經費投入至後續產出專利、運用，能否有效結合，或因而強化國家競爭力、減少需用單位間之落差，已是兩岸或其他國家所關切的焦點。因此，為利知己知彼，除了瞭解競爭國家之資源投入情形外，其研發成果相關運用情形等，亦實值得我們後續觀察、研究。
紡織業大革命 減少石油消耗美國杜邦公司歷經十餘年研究，利用萃取玉米中的葡萄糖為原料，取代以石化製程而研發出紡織用的SORONA生物基聚合物，並取得二十七項專利。以此方法生產的SORONA，除了可降低對石油的依賴，對於全球溫室效應及環境保護將有重大的影響。 位在田納西州首座生化PDO（丙二醇，是生產高分子聚合物的主要原料，可用於製造塑膠、衣物紡織品或其他產品 ）明年三月正式投入生產後，將前進亞洲設置第二座PDO廠，並尋求替代玉米的新再生能源。而正式量產後，將供應台灣遠東紡織及大陸廈門翔鷺紡織等十家大廠使用。
美國司法部宣布德國SAP公司承認違法將美國軟體產品出口至伊朗，雙方達成不起訴協議美國司法部於2021年4月29日宣布，德國SAP全球軟體公司承認從2010年1月至2017年9月，因未能識別用戶下載軟體的地理位置，導致美國原產技術和軟體在未經許可下，透過雲端伺服器和入口網站提供給伊朗用戶，已違反美國《出口管制規則》（Export Administration Regulations, EAR）和《伊朗交易和制裁條例》（Iranian Transaction and Sanction Regulation, ITSR）。SAP向美國司法部、商務部和財政部支付800萬美元罰款並配合調查與補救，雙方達成不起訴協議。 美國司法部指出，SAP違規行為主要為以下兩種。首先，SAP及其海外合作夥伴向伊朗用戶輸出超過20,000次的美國軟體產品，其方式包括軟體的更新、升級和修補程式。SAP及總部位於美國的供應商，均未使用地理位置過濾器來識別並阻止伊朗用戶下載，且多年來SAP並未採取任何措施解決此問題，導致伊朗用戶下載後，絕大多數美國軟體再流向土耳其、阿聯酋及多家伊朗跨國公司。其次，SAP旗下的雲端企業Cloud Business Group companies（簡稱CBGs）允許約2,360名用戶在伊朗使用美國的雲端運算服務。從2011年開始SAP陸續收購多家雲端服務供應商成為其CBGs，透過收購前的盡職調查及收購後的出口管制特種審計，清楚了解到這些CBGs缺乏足夠的出口管制與制裁合規程序，但SAP仍允許CBGs被收購後繼續作為獨立實體營運，且未能將CBGs完全整合至SAP自身的出口管制規劃中。 美國司法部指出，為確保軟體等美國敏感技術產品，不會非法出口至伊朗等禁運地，公司除必須識別用戶來源外，也有責任確保供應鏈下游與之為產品交易的外國子公司能識別產品輸出地，並且同樣遵守美國經濟制裁政策與出口管制法規，維護美國外交政策與國家安全，防止美國敏感技術落入競爭對手手中。