AI金鑰外洩與低速DDoS警訊:資安戰場進入偽裝時代

Date:

圖片來源/本報資料庫

商傳媒|記者顏康寧/台北報導

資安戰場正在出現一種更難察覺的新型態攻擊:不再靠瞬間癱瘓系統,而是用低頻、分散、偽裝成正常流量的方式,慢慢壓垮防線。資安平臺 DataDome 旗下 Galileo 威脅研究團隊揭露,2026 年 4 月中旬,一場針對大型使用者生成內容平臺的 DDoS 攻擊,在 5 小時內送出超過 24.5 億次惡意請求,動用逾 120 萬個獨立 IP,平均每秒約 13.6 萬次請求,尖峰更達 205,344 RPS。關鍵在於,每個來源 IP 平均約每 9 秒才送出一次請求,精準避開傳統每 IP 限速機制。幾乎同一時間,AI 評測與觀測平臺 Braintrust 也證實,一個 AWS 雲端帳號遭未授權存取,內含客戶用來連接雲端 AI 模型的 API 金鑰,因而要求所有客戶輪換存放在 Braintrust 的金鑰。兩起事件雖非同一攻擊鏈,卻共同揭露 AI 時代最脆弱的一環:合法流量、合法憑證與合法雲端帳號,正成為攻擊者最有效的偽裝工具。

信任階層的崩塌與影子算力的隱藏視角

Braintrust 扮演的是 AI 開發者的觀測中心,其平台可協助企業監測 AI 模型與產品表現。TechCrunch 報導指出,Braintrust 在寄給客戶的信件中確認,一個 Amazon Web Services(AWS)雲端帳號遭到未授權存取,該帳號內含客戶用來連接雲端 AI 模型的 API 金鑰;公司表示已鎖定遭入侵帳號、限制相關系統存取並輪換內部機密,同時要求所有客戶輪換存放於 Braintrust 的 API 金鑰。

此次事件最敏感的一點,在於攻擊者若取得 API 金鑰,未必需要立刻竊取資料,也可能利用合法金鑰登入相關服務,外觀上就像正常使用者。這意味著風險不只在資料外洩,也可能延伸至「影子算力」市場:攻擊者可將合法金鑰轉售,或利用受害企業帳單存取模型、測試服務甚至訓練非法模型。這種「盜用他人錢包買算力」的博弈,讓原本應作為資安防線的 AI 觀測平臺,也可能成為地下 AI 產業鏈覬覦的入口。TechCrunch 也指出,駭客經常鎖定雲端服務或第三方平台帳號,藉此竊取 API 金鑰等機密,並以合法使用者身分進入企業或客戶系統。

數位免疫系統的失效與社會信任代價

Braintrust 事件可能涉及多個企業的 AI 服務權限與敏感商業流程。雖然 Braintrust 發言人向 TechCrunch 表示,目前沒有發現更廣泛暴露的證據,且通知客戶是出於謹慎考量,但要求全體客戶輪換金鑰的舉動,已反映出 AI 供應鏈對第三方平台憑證託管的高度依賴。

與此同時,DataDome 發現這波低頻 DDoS 攻擊高度分散,流量橫跨 16,402 個自主系統(ASN),前幾大來源 ASN 甚至包含 Cloudflare、DigitalOcean、Amazon 與 Google 等合法雲端或網路服務供應商。由於沒有單一 ASN 佔比超過 3%,傳統透過封鎖 IP 或 ASN 的手法難以有效止血。DataDome 指出,攻擊者混合隱私導向網路與大型雲端流量,讓惡意流量更容易藏進正常流量之中。

這種攻擊思維的演進,代價是社會對數位服務基礎信任的沉重動搖。當合法流量與惡意攻擊在統計上愈來愈接近,企業維運成本將快速升高,法規對於這類「低速滲透式攻擊」的究責邊界,也仍待更多案例釐清。

從暴力攻擊到偽裝攻擊:資安防線的新分水嶺

這場警訊揭示了 AI 時代權力高度集中的反噬。當大量 AI 思考過程、提示詞、模型呼叫與控制權被託付給少數觀測平臺與雲端服務商,這些平台便成為駭客眼中最誘人的數位獵場。金鑰輪換只是治標,真正的權力博弈在於:誰能掌握識別「模仿人類」與「真實人類」的最終解釋權。

DataDome 的分析也指出,攻擊者偽造 HTTP 標頭、cookies 與 TLS 指紋,試圖讓流量看起來像標準瀏覽器;但其 TLS 握手、瀏覽器識別訊號與工作階段行為仍出現不一致,最後被行為分析與伺服器端指紋辨識偵測。這意味著未來資安防線將不再只靠防火牆、IP 黑名單或靜態限速,而是必須導入更長時間軸的行為模型,觀察流量在分鐘與小時尺度上的協同行為。

結尾的餘韻在於,即便所有金鑰都完成輪換,若無法解決中心化託管的結構性脆弱,下一個 5 小時的靜默攻擊,或許就在下一個 9 秒鐘之後。

島嶼試金石:台灣如何在巨頭供應鏈中求生

對於積極推動 AI 產業化與數位轉型的台灣而言,Braintrust 事件與低頻 DDoS 攻擊是一次明確的震撼教育。台灣許多新創公司與企業服務高度仰賴外部 API、雲端模型、第三方觀測工具與跨境 SaaS 平台,這種「快速整合」架構雖能降低開發成本,卻也在供應商級別資安事故發生時,暴露出難以自主管控的風險。

目前明確的挑戰在於:台灣企業若只是防堵大規模洪流攻擊,卻缺乏針對 AI 憑證託管、API 金鑰輪換、第三方模型閘道監控與異常流量行為分析的制度設計,將很難應對這類低頻、分散、偽裝合法的攻擊模式。未來資安重點不只是「擋下流量」,而是建立能辨識 AI 代理人、合法使用者與惡意自動化工具差異的本土監測能力。

若不能建立 AI 閘道監測機制、憑證最小權限管理與異常流量辨識技術,台灣數位產業將在全球巨頭供應鏈的連鎖反應中,持續承受難以預測的資安外溢風險。

7d9c1a1e 6389 4fdc 84b1 c6de5df9a523

相關新聞推薦

正在載入相關新聞…

Share post:

spot_imgspot_img

熱門

相關新聞
Related

監委獨立性成焦點!黃仁點名超思蛋等4大爭議案 吳梓生:無黨無派、「沒有羈絆」

瀏覽數:748黃仁表示,監察委員主要職責就是監督政府機關及公務人員是否涉及違法失職,因此「獨立性」格外重要。《憲法增修條文》第7條明定,監察委員須「超出黨派以外,依據法律獨立行使職權」,因此外界真正關心的是,監委面對涉及執政黨、推薦者或政治派系的案件時,能否不受政治因素影響。黃仁進一步表示,外界長期對監察院存在「選擇性辦案」、「應作為而不作為」等質疑,因此他特別提出數起蔡英文政府及賴清德政府時期備受社會關注的案件,要求吳梓生說明,若未來擔任監委,將如何面對相關爭議。黃仁首先點名新冠疫情期間的防疫政策爭議,包括「3+11」邊境防疫決策、高端疫苗審查及採購、小吃店採購快篩試劑、疫苗到貨延宕及民間疫苗捐贈等事件。他指出,相關監察調查曾提及衛福部存在公開透明及紀錄等問題,但並未對時任衛福部長陳時中等相關官員提出彈劾。第二項則是「超思進口蛋」爭議。黃仁指出,超思公司資本額僅50萬元,卻參與政府專案進口大量巴西雞蛋,後續又衍生蛋品效期、流向、標示及採購程序等爭議。監察院雖曾針對相關事項提出糾正,但未對時任農業部長陳吉仲等決策及執行官員提出彈劾。第三項則為鏡電視執照申設爭議。黃仁表示,NCC審查鏡電視申設及開播期間,曾因相關錄音內容引發外界對政治力量介入獨立機關審查的質疑,監察院後續雖立案調查,但並未對時任NCC主委陳耀祥提出彈劾。黃仁最後提出行政院對立法院三讀議案「拒絕副署」爭議。他表示,立法院三讀通過相關修法後,行政院覆議失敗,後續採取拒絕副署,引發朝野對權力分立及憲政義務的爭論。立法院方面並曾向監察院提出陳情及要求調查。對此,吳梓生回應表示,就行政院長卓榮泰對立法院通過法案「拒絕副署」一事,以他個人的法律認知來看,屬於憲法層次的爭議,並未落在監察委員職權行使的範圍。至於黃仁所提出的超思進口蛋等其他案件,吳梓生則指出,若未來擔任監察委員,將依據法律及監察委員職權進行判斷與調查。第六屆監察委員任期已於7月31日屆滿。監察委員提名審薦小組召集人、副總統蕭美琴先前主持「監察院第7屆正、副院長及監察委員被提名人介紹記者會」,公布包含正、副院長在內共29名被提名人,吳梓生名列其中。

從受助到助人!黃迪揚擔任「至善基金會愛心大使」跟蝙蝠俠出任務!

瀏覽數:724【警政時報 司徒/臺北報導】榮獲金鐘獎肯定、以百變演技驚豔觀眾的實力派演員黃迪揚(阿迪),走過人生低潮、堅持演員夢想,他毫不猶豫接受至善基金會邀請,擔任年度愛心大使,並於今日(20日)出席記者會,分享隨基金會參與第一線服務的過程點滴。他更以受助的過來人身份,鼓勵每一個有需要的孩子與母親勇敢堅持、不要放棄,也呼籲大眾支持基金會「陪伴與培力」服務的重要性。毫無猶豫!阿迪首度擔綱愛心大使,盼演員身份幫弱勢族群發聲 談起擔任愛心大使的契機,黃迪揚透露第一時間完全沒有猶豫,他說:「身為演員,我期盼透過表演讓更多人知道這世界上還是有蠻多人生活在底層,需要我們更多的關照、關愛與陪伴。」他進一步坦言從小到大的成長歷程中,身邊總有家庭環境辛苦、單親或失去雙親的朋友,這些經歷讓他深刻體會到他們的無助,也學會了惻隱之心。而比起過去演出詮釋的角色,至善堅持了超過30年的助人工作才是真正最難的角色! 跟著蝙蝠俠出任務,陪玩、陪摔還幫清潔,阿迪接住有需要的孩子與媽媽!在黃迪揚眼中,至善就像蝙蝠俠,在有點危險的地方,默默地支持、陪伴孩子們長大。阿迪不僅親自跟著基金會進入服務據點陪伴孩子打棒球,穿上圍裙一起做鬆餅,深入新竹山區部落原鄉,探訪柔道隊貼身體驗;甚至參與基金會提供都會原住民婦女的「快樂大掃」工作,捲起袖子幫忙打掃清潔,當他看見真實身處困境中的孩子與媽媽們,以驚人的毅力克服困境,他感性表示:「相較他們,演員做的功課、吃的苦,真的太微不足道了。」阿迪參與的過程將成為基金會系列影片,讓更多人一起接住有需要的孩子與母親。隱藏版的約定,自許《航海王》紅髮傑克,贈道奇球帽盼未來相遇 談到這段感人插曲,黃迪揚分享與特殊孩子「亨利」的相遇,事前知道亨利喜歡打棒球,但實際相處後發現他連一個瓶蓋、一顆小石頭都能玩得很開心,就像他自己小時候一樣。於是當天告別的時候,阿迪決定將自己道奇隊的棒球帽戴在亨利的頭上,他說:「當時心裡希望就像動畫《航海王》裡的紅髮傑克一樣,送亨利一頂草帽,未來他闖蕩這個世界的時候,可以戴著它,然後知道有一個人,在這個世界上會適時幫助他。」從受助到助人,黃迪揚「陪伴與培力」路上最佳男「陪」角! 讓黃迪揚印象深刻的柔道女孩谷慕,曾受基金會幫助,如今她不忘本地回到部落協助學弟妹,用親身經歷的喊出最真誠的加油聲,這幕「愛心接力」讓他動容,阿迪也回首一路走來受到恩師、家人的陪伴,如同基金會陪伴與培力的最佳寫照,他表示:「過去我受許多人幫助,感謝之餘,我更確認自己要成為那個可以傳遞善的力量的人。」基金會在記者會上贈予黃迪揚象徵認同的阿美族的情人袋,感謝他熱心參與跨文化的兒少服務,成為陪伴與培力路上最佳男主角,對此,阿迪則一如往常的謙遜說:「每個孩子才是主角,真要說自己扮演的角色,應該比較像是男『陪』角吧!」

USGBC攜手三陽工業 支持原住民深耕德瑪汶協會關懷送餐

瀏覽數:755公益行動再加碼,明年投入10,000公里低碳里程三陽工業策略長鄒幗馨表示,三陽工業響應政府環境部「自主減量」相關政策,承諾2030年工廠減碳5.4%,然而,企業減碳除了從自身營運做起,更重要的是進一步帶動供應鏈、消費者及社會大眾共同參與減碳行動。她指出,此次公益計畫可以說是三方攜手合作的成果,三陽工業提供「好車」、美國穀物暨生質產品協會提供「好油」,而深耕德瑪汶協會則持續投入「好事」,三方各司其職,將交通運輸、低碳燃料與公益服務串聯起來,共同為減碳與社會公益貢獻一分力量。鄒幗馨進一步表示,明年度三陽工業將持續擴大這項公益計畫,在今年投入5,000公里低碳里程的基礎上,再加碼10,000公里,累計達15,000公里,讓低碳里程持續轉化為關懷原鄉、服務長者的實際行動,共同創造「美好的永續移動風景」。低碳愛心里程,以實際道路使用驗證酒精汽油安全可靠除了公益價值,本次計畫另一項重要成果,是透過真實道路使用經驗,累積酒精汽油的實際應用數據與使用回饋。截至115年8月16日,執行本次計畫、全程使用酒精汽油的送餐機車,已累積行駛近3,000公里。經實際使用回饋及車況檢視,其運轉性能、車況表現與使用一般汽油的車輛並無明顯差異,顯示酒精汽油在兼顧車輛性能、安全性及使用便利性的前提下,具備實際道路使用的可行性,並可進一步發揮節能減碳效益。美國穀物暨生質產品協會駐台代表盧智卿表示,本次低碳公益送餐計畫,不僅是希望透過真實的道路應用案例,讓社會大眾更了解酒精汽油的安全性、可靠性與實際使用表現,更希望藉此彰顯台灣推動酒精汽油政策近20年所累積的成果。盧智卿指出,台灣政府持續推動運輸部門減碳政策,今年6月進一步將酒精汽油乙醇含量上限提高至10%,展現台灣對道路運輸減碳及低碳燃料發展的重視與支持,美國穀物暨生質產品協會將持續關注台灣酒精汽油政策發展,承諾未來若政府開放更高比例酒精汽油上路,也將配合市場發展升級相關公益計畫,持續以具體行動響應交通運輸淨零轉型與永續發展。 從一趟送餐路程開始,讓低碳成為日常的選擇一趟日常的山區送餐路程,也能成為低碳行動的起點,三陽工業、美國穀物暨生質產品協會與深耕德瑪汶協會透過跨域合作,將企業減碳、低碳運輸與原鄉公益串聯起來。15,000公里的低碳里程,不只是數字的累積,更是以實際行動支持公益、推動低碳運輸的承諾,讓每一次移動,都能兼顧關懷社會與守護環境,持續描繪「德瑪汶,永續的移動風景」。

2026善愛嘉年華圓滿落幕 三天近11萬人次走進科教館感受愛

瀏覽數:413小樹傳愛協會連續多年邀請來自偏鄉、非山非市、新住民及資源相對不足地區的孩子參與,安排三天兩夜的交通、食宿及青年志工全程陪伴,銘傳大學也響應公益,贊助師生夜宿校園。對孩子而言,也許只是短短三天,但一次被好好迎接、一次看見更大的世界,以及一句「原來有人期待我的到來」,都可能成為成長中珍貴的記憶。這場活動的背後,也有許多看不見的付出。從數月籌備、企業與公益夥伴支持,到場佈、物資整理、營隊接待及現場引導,數百位志工在不同崗位投入,只為讓更多孩子與家庭有機會感受到愛。善愛嘉年華也是小樹傳愛協會「幸福三部曲」的重要一環。從第一部曲「傳愛進校園——心愛自己7堂課」、第二部曲「善愛嘉年華」,到第三部曲「357擁抱心運動」,希望把活動中的感動,帶回家庭,成為生活中可以持續實踐的行動。三天,近11萬人次。活動結束了,展場會拆除,人潮也會散去。但如果有一個孩子因此更相信自己一點,有一位父母回家後願意多聽孩子說五分鐘,有一個家庭重新給彼此一個真心的擁抱——那麼,這三天留下的,就不只是一場嘉年華,而是一顆顆關於愛的種子,開始在不同的家庭裡繼續長大。