經濟日報 App
  • 會員中心
  • 訂閱管理
  • 常見問題
  • 登出

微軟與 OpenAI 揭露國家型 AI 網路攻擊 呼籲企業關注

本文共1224字

經濟日報 記者彭慧明/即時報導

在資安領域,人工智慧(AI) 正引領一場巨大變革,AI 可協助企業組織以高速擊敗網路攻擊、解決資安人才短缺問題,並推動資安的創新和效率;攻擊威脅者也可利用 AI 提升攻擊效率及範圍。微軟與 OpenAI 及 MITRE 合作揭示國家型攻擊威脅行為的手法與路徑,包括來自俄羅斯的 Forest Blizzard、北韓的 Emerald Sleet、伊朗的Crimson Sandstorm、以及中國大陸的 Charcoal Typhoon 和 Salmon Typhoon。

微軟指出,這些攻擊者試圖使用大型語言模型(LLMs)增強正在進行的網路攻擊行動。微軟觀察到這些攻擊者在AI 方面採取的早期行動,並記錄如何阻止他們的活動,以保護 AI 平台和用戶。

微軟亦公布指導及採取行動的原則,減輕因為國家型持久攻擊威脅者、持久操縱者和使用 AI 平台和 API 的網絡犯罪集團帶來的風險。這些原則包括:識別和對惡意威脅行為者的行動、通知其他AI服務供應商的使用、與其他利害關係者合作以及提升透明度。

此外,微軟與 MITRE 合作,將這些 LLMs 主題的戰術、技術和程序(TTPs)整合到 MITRE ATT & CK 框架或 MITRE ATLAS(人工智慧系統對抗性威脅情境)知識庫中,以幫助更廣泛的資安社群了解和偵測大型語言模型 LLMs 在攻擊活動中的新藍圖。

微軟指出,AI 引發的詐欺事件也是另一重要議題;語音合成技術的濫用就是一個例子,三秒的語音樣本可以訓練模型使其聽起來像任何人。必須了解惡意行為者如何利用 AI 破壞長期存在的身份驗證系統,以便應對複雜的詐欺案件和其他掩蓋身份的新興威脅。

微軟過去停止了與巴西一家公司的合作,但微軟的 AI 系統偵測到該公司仍試圖改變身份以重新進入微軟的生態系統,微軟的 AI 偵測便使用了十幾個風險訊號來標記詐欺公司,將其與先前識別的可疑行為聯結起來,阻止其非法嘗試。

微軟也建議企業組織加強員工網路風險教育,包括採用條件式存取原則,以強化組織安全態勢;進行社交工程 (Social Engineering) 教育訓練,以識別威脅並即時做出反應;嚴格保護資料的機密和可控性;利用生成式 AI 資安工具,如 Microsoft Copilot for Security;啟用多重身份驗證。

微軟採用了多種方法來保護自身免受這類網絡攻擊威脅的侵害,包括人工智慧的威脅偵測、行為分析、機器學習模型、零信任原則以及加強驗證等。

針對企業組織,微軟也提出四大建議應對網路威脅,第一是限制 AI 存取的範圍並持續評估應用的合適與合規性;第二是防範指令提示造成的風險:企業應實施嚴格的輸入驗證和清理,以降低指令產生的風險;第三要求整個 AI 供應鏈保持透明度:企業應評估 AI 可與組織數據接觸的所有領域,包括透過第三方合作夥伴和供應商,並透過零信任和數據治理計劃來降低風險;第四是明確與員工溝通企業的 AI 使用和風險政策。

※ 歡迎用「轉貼」或「分享」的方式轉傳文章連結;未經授權,請勿複製轉貼文章內容

延伸閱讀

上一篇
NISSAN 新 SENTRA 問世 裕日車業績向前衝
下一篇
再生能源發電占比擴大 台電規劃與工研院合作製氫

相關

熱門

看更多

看更多

留言

完成

成功收藏,前往會員中心查看!