英國發布人工智慧網路資安實務守則
英國政府於2025年1月31日發布「人工智慧網路資安實務守則」（Code of Practice for the Cyber Security of AI，以下簡稱「實務守則」），目的是提供人工智慧（AI）系統的網路資安指引。該實務守則為英國參考國際上主要標準、規範後所訂定之自願性指引，以期降低人工智慧所面臨的網路資安風險，並促使人工智慧系統開發者與供應商落實基本的資安措施，以確保人工智慧系統的安性和可靠性。
由於人工智慧系統在功能與運作模式上與傳統網路架構及軟體有明顯的不同，因此產生新的資安風險，主要包含以下：
1. 資料投毒（Data Poisoning）：在AI系統的訓練資料中蓄意加入有害或錯誤的資料，影響模型訓練結果，導致人工智慧系統產出錯誤推論或決策。
2. 模型混淆（Model Obfuscation）：攻擊者有意識地隱藏或掩飾AI模型的內部運作特徵與行為，以增加系統漏洞、引發混亂或防礙資安管理，可能導致AI系統的安全性與穩定性受損。
3. 輸入間接指令（Indirect Prompt Injection）：藉由輸入經精心設計的指令，使人工智慧系統的產出未預期、錯誤或是有害的結果。
為了提升實務守則可操作性，實務守則涵蓋了人工智慧生命週期的各階段，並針對相關角色提出指導。角色界定如下：
1. 人工智慧系統開發者（Developers）：負責設計和建立人工智慧系統的個人或組織。
2. 人工智慧系統供應鏈（Supply chain）：涵蓋人工智慧系統開發、部署、營運過程中的的所有相關個人和組織。
實務守則希望上述角色能夠參考以下資安原則，以確保人工智慧系統的安全性與可靠性：
1. 風險評估（Risk Assessment）：識別、分析和減輕人工智慧系統安全性或功能的潛在威脅的過程。
2. 資料管理（Data management）：確保AI系統整個資料生命週期中的資料安全及有效利用，並採取完善管理措施。
3. 模型安全（Model Security）：在模型訓練、部署和使用階段，均應符合當時的技術安全標準。
4. 供應鏈安全（Supply chain security）：確保AI系統供應鏈中所有利益相關方落實適當的安全措施。
「人工智慧網路資安實務守則」藉由清晰且全面的指導方針，期望各角色能有效落實AI系統安全管控，促進人工智慧技術在網路環境中的安全性與穩健發展。
張元嘉
副法律研究員 編譯整理
Code of Practice for the Cyber Security of AI, UK.GOV, https://www.gov.uk/government/publications/ai-cyber-security-code-of-practice/code-of-practice-for-the-cyber-security-of-ai (last visited Mar. 21, 2025)
Google 在2007年4月買下DoubleClick之後，競標落敗的微軟連同其他Google對手，控告Google和DoubleClick的結合，恐怕有壟斷之嫌，因此引來FTC和歐盟執委會的調查。 Google此前已經於去年12月首先取得美國聯邦貿易委員會的併購核準。歐盟執行委員會(EUropean Commission；EC)則於日前宣布通過無條件批准Google以31億美元收購線上廣告業者DoubleClick的購併案。 另據CNN Money網站報導，歐盟執委會通過雙方合併，主要基於沒有重大證據顯示，雙方的結合將會削弱微軟(Microsoft)、雅虎(Yahoo!)、美國線上(AOL)等競爭對手的生存空間；其次，Google和DoubleClick彼此並不存在競爭關係，雙方合併對線上廣告市場的競爭，不至於帶來負面的衝擊。 不過，提倡保護個人隱私的組織反對該收購交易，他們認為Google與DoubleClick合併之後，使兩家公司更容易獲取消費者個人資訊。但是歐盟執委會表示個人隱私權問題並非是否同意兩家公司合併的考量事項。 在得到歐盟方面正式核準之後，Google將會正式採取行動併購DoubleClick，將其線上廣告的經營，從文字廣告拓展至顯示廣告(display advertisement)領域。但在這塊線上廣告市場的步步進逼，勢必會刺激微軟加速買下雅虎的決心。
世界衛生組織公布「人工智慧於健康領域之倫理與治理」指引世界衛生組織（World Health Organization, WHO）於2021年6月底公布「人工智慧於健康領域之倫理與治理」（Ethics and governance of artificial intelligence for health）指引。目前人工智慧於在改善診斷、治療、健康研究、藥物開發及公共衛生等健康領域皆有廣泛之應用與前景，而該指引首先指出人工智慧應用於健康領域中最相關之法律與政策外，並強調相關應用皆須以「倫理」及「人權」作為相關技術設計、部署與使用之核心，最後則提出人工智慧應用於健康領域之六大關鍵原則： 一、保護人類自主性（autonomy）：本指引認為人類仍應該掌有關於醫療保健系統之所有決定權，而人工智慧只是輔助功能，無論是醫療服務提供者或患者皆應在知情之狀態下作決定或同意。 二、促進人類福祉、安全與公共利益：人工智慧不應該傷害人類，因此須滿足相關之事前監管要求，同時確保其安全性、準確性及有效性，且其不會對患者或特定群體造成不利影響。 三、確保透明度、可解釋性與可理解性（intelligibility）：開發人員、用戶及監管機構應可理解人工智慧所作出之決定，故須透過記錄與資訊揭露提高其透明度。 四、確立責任歸屬（responsibility）與問責制（accountability）：人工智慧在醫學中所涉及之內部責任歸屬相當複雜，關於製造商、臨床醫師及病患間相關之問責機制之設計將會成為各國之挑戰，故須存在有效之機制來確保問責，也應避免責任分散之問題產生。 五、確保包容性（inclusiveness）與衡平性（equity）：應鼓勵應用於健康領域之人工智慧能被廣泛且適當地使用，無論年齡、性別、收入及其他特徵而有差別待遇，且應避免偏見之產生。 六、促進具適應性（responsive）及可持續性之人工智慧：人工智慧應符合設計者、開發者及用戶之需求與期待，且能充分具適應性之回應且符合使用環境中之要求。
美國聯邦地方法院就Sanford Wallace散佈間諜軟體案作成判決美國聯邦交易委員會指控 Sanford Wallace 氏及其所經營的 Smartbot.Net 公司，利用 IE 瀏覽器的安全漏洞散佈間諜軟體一案，日前新罕布夏州聯邦地方法院作成判決。 被告散佈之軟體會將受害者的光碟機托盤彈出，同時在螢幕顯示「最後警告」等字樣，附帶一則訊息告訴受害者，「如果您面臨光碟機托盤彈出的狀況，代表間諜軟體已經入侵您的電腦系統，安全已經出現漏洞，敬請立刻下載本公司出品，以資因應！」趁機推銷該公司出品，定價 30 美元之 Spy Wiper 跟 Spy Deleter 軟體，號稱足以因應間諜軟體相關問題。實際上，被告未經用戶同意逕予散佈植入的，性質上即係間諜軟體，不僅會偷偷更改用戶電腦的設定，持續不斷跳出廣告視窗，造成用戶之電腦運作不順或者當機，還可能洩漏電腦裡頭所儲存的資料。 日前新罕布夏州聯邦地方法院就本件作成判決，命被告必須償還不法取得的利益，共計 408 萬餘美元；不得繼續傳輸散佈間諜軟體至用戶之個人電腦；不得未經同意逕行傳輸任何軟體予用戶；不得將用戶之電腦導向彼等並未打算瀏覽或連結的網站或伺服器；不得更動用戶瀏覽器所預設的首頁；不得更動或調整搜尋引擎的功能或成果。
美國Farmers Insurance Group在加州以竊取營業秘密為由控告前員工以及Automobile Club of Michigan2017年10月，美國知名保險公司Farmers Insurance Group（下稱Farmers）在加州法院提訴，控告前員工Venkatesh Kamath（下稱Kamath）、前資訊長Shohreh Abedi（下稱Abedi）和競爭對手American Automobile Association（下稱AAA協會）旗下的Automobile Club of Michigan（下稱Auto Club）竊取營業秘密。 Farmers聲稱，於2015年起使用Guidewire Software（下稱Guidewire），以更新其理賠處理和保險服務系統。Kamath因Guidewire業務，接觸到Farmers高度敏感與機密資訊。Abedi前為Kamath上司，曾監督Guidewire計畫初期階段。之後Abedi至Auto Club任職，協助Auto Club轉換使用Guidewire，並挖角包括Kamath在內許多Farmers員工。Kamath離職前，從Farmers電腦中拷貝超過6400份檔案，其中包括與Guidewire計畫及Famers核心業務相關的營業秘密資訊。 Farmers控訴Kamath、Abedi及Auto Club違反加州營業秘密法（California Trade Secret Act）、從事不公平競爭、違反忠實義務及其他事由，除訴請賠償外，也請求法院禁止被告使用其營業秘密。 本案非Farmers與AAA協會首次因營業秘密事宜而對訟。2010年間，Farmers曾控告AAA協會旗下Auto Club Group竊取其投保客戶機密資訊，惟該案當時經法院以Farmers未能證明有何損失或損害為由，駁回其訴。Farmers公司於2017年10月對Auto Club提起的本件訴訟，法院實務的發展為何，值得後續觀察。