新加坡網路安全局發布人工智慧系統安全指南，以降低AI系統潛在風險
新加坡網路安全局（Cyber Security Agency of Singapore, CSA）於2024年10月15日發布人工智慧系統安全指南（Guidelines on Securing AI Systems），旨在強化AI系統安全，協助組織以安全之方式運用AI，降低潛在風險。 該指南將AI系統生命週期分成五個關鍵階段，分別針對各階段的安全風險，提出相關防範措施：
（1）規劃與設計：提高AI安全風險認知能力，進行安全風險評估。
（2）開發：提升訓練資料、模型、應用程式介面與軟體庫之供應安全，確保供應商遵守安全政策與國際標準或進行風險管理；並辨識、追蹤及保護AI相關資產（例如模型、資料、輸入指令），以確保AI開發環境安全。
（3）部署：適用標準安全措施（例如存取控制、日誌記錄），並建立事件管理程序。
（4）運作與維護：持續監控AI系統的輸入和輸出，偵測異常與潛在攻擊，並建立漏洞揭露流程。
（5）壽命終期：應根據相關行業標準或法規，對資料與模型進行適當之處理、銷毀，防止未經授權之存取。
CSA期待該指南發布後，將有助於預防供應鏈攻擊（supply chain attacks）、對抗式機器學習攻擊（Adversarial Machine Learning attacks）等安全風險，確保AI系統的整體安全與穩定運行。
翁嘉璟
副法律研究員 編譯整理
Guidelines and Companion Guide on Securing AI Systems, Cyber Security Agency of Singapore, https://www.csa.gov.sg/Tips-Resource/publications/2024/guidelines-on-securing-ai (last visited Oct. 27, 2024).
Singapore’s Cyber Security Agency issues security guidelines for AI systems, CMS Law-Now, https://cms-lawnow.com/en/ealerts/2024/10/singapore-s-cyber-security-agency-issues-security-guidelines-for-ai-systems?utm_source=lawnow-realtime&utm_medium=email&utm_campaign=Singapore%e2%80%99s%20Cyber%20Security%20Agency%20issues%20security%20guidelines%20for%20AI%20systems&utm_id=4097&utm_term=read_more&utm_content=697002 (last visited Oct. 27, 2024).
許嘉芳，〈美國國家標準暨技術研究院發布「人工智慧風險管理框架：生成式AI概況」〉，資策會科技法律研究所，2024年10月，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=9263&no=64（最後瀏覽日：2024/10/28）。
新加坡通訊與資訊部（The Ministry of Communications and Information）轄下資通訊媒體發展管理局（Infocomm Media Development Authority）於2023年6月5日公布「數位連結性藍圖」（Digital Connectivity Blueprint, DCB），指出新加坡將透過數位基礎設施的建置，實現提升網路容量、最大化運算能量、整合基礎設施集合（infrastructure stack，即將多個基礎設施作為一整體進行定義、提供與更新）、確保安全與韌性，以及永續性設計（Design for sustainability）目標，並識別五項戰略性優先事項如下： （1）在未來十年將海底電纜數量提升為現有的兩倍； （2）透過將新加坡國家寬頻網路（Nationwide Broadband Network, NBN）的頻寬提高十倍、分配頻譜予5G專網（Standalone, SA）等方法，於未來五年內建構並提供無縫、端到端且速度高達10 Gbps的國內網路； （3）與供應商合作，強化運算基礎設施的透明性與可歸責性，並與國際最佳作法保持一致； （4）為新的綠色資料中心（Green data centre）制定長期成長路線圖並使其更具能源效率； （5）推動對新加坡數位公用設施（Digital Utility, DU）集合的採用，以擴張無縫數位交易的優勢，並持續探索能從現有DU中受益的使用案例。 除戰略性優先事項外，新加坡將在更新興且前沿的領域中採取行動，具體措施包含： （1）在未來十年推動新加坡量子安全（Quantum-safe）願景； （2）為普遍的自動化系統使用奠定基礎； （3）透過測試平台與沙盒建立利害關係者生態系統，推動綠色軟體（green software）的開發、標準制定與評估； （4）透過低軌道衛星服務為關鍵產業提供創新解決方案。
美國商務部放寬對中國特定晶片出口許可簽審政策美國商務部產業安全局（Bureau of Industry and Security, BIS）於美東時間2026年1月14日公告修正《出口管制規則》（Export Administration Regulations, EAR）對「特定半導體」出口至中國與澳門的許可簽審政策，將原本自2022年10月7日拜登政府時期的「推定拒絕」（presumption of denial）改為「逐案審查」（case-by-case review），並於美東時間2026年1月15日生效。 本次修正將放寬「特定半導體」原先較難輸往中國的法規障礙，影響的貨品範圍包括先進運算類貨品，即總處理效能（Total Processing Performance）低於21,000，且動態隨機存取記憶體（DRAM）總頻寬低於6,500GB/s的先進晶片（NVIDIA H200、AMD MI325X，或與NVIDIA H200同等級貨品）；以及較前述晶片規格與效能成熟的貨品。 出口人適用本次修正之「逐案審查」許可簽審政策，須滿足以下條件： 1.欲出口之半導體相關貨品在本次公告時，已可在美國商業市場銷售。 2.欲出口之貨品在美國境內具有充足供應。 3.為銷往中國而生產的晶片，不會排擠全球晶圓代工產能，亦不會影響給美國最終使用人相同或更先進貨品的供應情形。 4.出口貨品須在美國境內接受獨立第三方實驗室檢測（testing），加以確認貨品的技術能力與功能，如同出口人許可申請文件所述。 而在中國的收貨方，須已有充分的貨品安全管控程序。BIS此要求並未同步放寬EAR既有的最終用途、最終使用人查核與流向管理標準。建議出口人於交易前、交易中與交易後，積極與供應鏈夥伴建立良好法遵機制。
韓國《創業投資促進法》修正：明確創辦人連帶責任之適用範圍韓國國會於2025年11月21日通過《創業投資促進法》（Venture Investment Promotion Act, VIPA）修正，並於同年12月30日經總統公布，將過往僅屬行政指導層級，建議投資契約不宜要求創辦人對受投資企業依法應負擔的營運責任或債務義務負連帶保證責任，提升為具有法律拘束力之規範。 過去韓國雖透過行政指導方式，建議投資契約不宜要求創辦人負連帶保證責任，但因缺乏法律強制力，投資方常基於契約自由原則，仍在契約中要求創辦人擔保，造成風險不對等，影響創辦人創業意願。 修法後原則上不得將受投資企業依法應負擔的營運責任或債務義務強加於創辦人，透過法律規範，改善創辦人與投資方間的締約地位不對等，使投資風險更回歸企業本身之經營表現與事業前景之評估，進而提升新創團隊取得資本市場資源之效率。然而，為在制度保障與契約自由間取得平衡，若創辦人涉及提供虛假資訊、違反資金用途、違規處分股票或嚴重違約等故意或重大過失行為，該規範將不適用，投資方仍可請求創辦人履行連帶保證義務。 此外，本次修法後，創業育成機構、加速器、創投公司等與創辦人簽訂投資契約之情況下，不得要求創辦人就受投資企業依法應負擔之營運責任或債務義務負連帶保證責任，旨在於創投生態中建立統一風險分攤標準，釐清企業債務與個人財務界線。 本法預計於2026年7月1日生效，但有關明確創辦人連帶責任之適用範圍之條文，依附則規定自2025年12月30日公布日起即刻施行，從法律層面確立對創辦人的保護，改善韓國創投領域的責任歸屬制度。
歐洲網路與資訊安全機構和歐洲標準化機構針對網路安全簽訂合作協議歐洲網路與資訊安全機構（European Network and Information Security Agency，簡稱ENISA）為了支持網路安全商品和服務進行標準化，於今年七月九日和歐洲標準化委員會（European Committee for Standardization，簡稱CEN）與歐洲電工技術標準化委員會（European Committee for Electrotechnical Standardization，簡稱CENELEC）共同簽署合作協議，來強化網路安全標準化的各項措施。 本合作協議的目的，在於能夠更有效地了解與解決網路和資訊安全標準化的議題，特別是處理和ENISA有所關連的不同訊息和通信技術（ICT）部門。本次簽署的合作協議，可視為是近來ENISA制定新法規的額外延伸，其將給予ENISA針對支持網路資訊安全（NIS）標準的發展，有更多積極的角色。本合作協議涉及的範圍包含下列情況： ‧ENISA於識別技術委員會（identified technical committees）作為觀察人，CEN與CENELEC的工作小組與講習作為支持歐洲標準的準備 ‧CEN與CENELEC評估ENISA相關的研究成果，並且將其轉化成標準化活動 ‧ENISA參與或適當地擔當依據CEN-CENELEC內部規章所組成的相關技術委員會、工作小組與講習之主席 ‧散布和促進出版物、研究結果、會議或研討會之消息流通 ‧對於促進活動與因NIS標準相關工作之商業聯繫建立和研究網絡提供相互支持 ‧針對處理攸關NIS標準活動的科技和研究議題，舉辦各項局部工作小組、會議和研討會 ‧針對共同利益確定之議題作相關資訊交換 有鑑於ENISA逐漸強調NIS標準化的相關工作，標準化不僅能改善網路安全外，更能提高所有網路安全產品與服務當面對不同網路威脅時的防禦能力。是以，我國資安主管機關是否亦需協調所有資安部門，針對網路安全技術架構研擬或規劃出相關標準化的網路威脅防範模組，則是亟需思考的問題。