Skip to content

重新思考零信任：人工智慧出生證明的必要性

重新思考零信任：為何 AI 代理需要「數位出生證明」

執行摘要：傳統的零信任模型在自主 AI 的重壓下正出現裂痕。隨著組織賦予 AI 代理廣泛的權限，美國情報界警告，我們必須建立一個基礎身分系統——「數位出生證明」——來治理這些非人類實體，以免它們成為巨大的安全盲點。

數十年來，零信任安全典範一直建立在一條簡單的規則上：驗證每個使用者和裝置，並強制執行最小權限原則。這個框架在管理人類登入或標準企業端點時非常有效。然而，當引入代理式 AI (agentic AI)——旨在以機器速度獨立運作、同時橫跨多個互連系統的自主程式——時，它便迅速崩潰。

這種不斷升級的摩擦最近成為了眾所矚目的焦點。在美國國防情報局的 DoDIIS 會議上，情報界資訊長 Douglas Cossa 公開點出了這個大家心知肚明卻避而不談的問題。據《Breaking Defense》報導，Cossa 坦言代理式 AI 已經「徹底顛覆了零信任」。企業不再預設限制存取權限，而是為 AI 代理配備廣泛的能力以完成其自主任務。為了彌合這兩種相互衝突的安全姿態，Cossa 提出了一個決定性的解決方案：一個統一的身分框架。

他提出的解決方案既令人印象深刻又勢在必行：數位出生證明 (digital birth certificate)。這個概念必須超越人類使用者和硬體，涵蓋每一個能夠要求、儲存或操作資料的 AI 代理。

結構性的企業危機，而不僅僅是政府問題

私營企業如果將此僅僅視為孤立的公部門困境，將犯下嚴重的錯誤。Cossa 的觀察凸顯了目前每個企業安全團隊都面臨的結構性漏洞。

傳統的零信任架構是為靜態群體設計的——員工、承包商、伺服器和筆記型電腦。這些實體會經歷佈建、稽核和離職（或報廢）的可預測生命週期。相反地，AI 代理打破了這些規則。它們是動態生成的（有時甚至是由其他代理自主生成）以執行極度特定的任務，然後便消失無蹤。一個開發人員一小時前透過指令碼啟動的機器人，並沒有標準的人資入職流程，因此在傳統的 Active Directory 中完全找不到它的蹤跡。

這正是 Cossa 所強調的漏洞。如果一個組織無法明確定義代理是什麼、是誰部署了它，以及它的運作邊界在哪裡，那麼像網路區隔這類的傳統防禦措施就會變得毫無用處。代理依然像個幽靈，對旨在監管它的治理系統來說實際上是隱形的。

身分必須先於存取控制

安全團隊經常試圖先解決存取問題，簡單地想限制機器人能做什麼。然而，如果沒有持久、可驗證的身分作為依託，分配權限是徒勞的。您無法對一個無法始終識別的實體有效強制執行最小權限。

這正是為什麼 Cossa 將解決方案定位為身分系統，而非標準的存取控制政策。在授予任何存取權限之前，AI 代理的「出生證明」必須確立幾個核心屬性：

  • 來源 (Origin)：是誰或哪個系統建立了這個代理？
  • 授權範圍 (Authorization Scope)：允許它與哪些特定任務和系統進行互動？
  • 存活時間 (Time-to-Live, TTL)：這個代理在到期前被授權存在多久？
  • 問責制 (Accountability)：如何將它的行為確切地追溯到人類操作員或記錄系統？

在網路安全市場中，資金已經針對這個問題做出了選擇。非人類身分 (NHI) 管理已成為創投和併購成長最快的領域之一。價值數十億美元的交易突顯了私營部門正多麼迫切地爭相保護機器與代理身分。政府的政策框架和市場的資金流向，正迅速在同一個結論上交會。

即時強制執行的必要性

建立身分只是成功的一半。如果系統無法在代理嘗試與網路、端點或資料集互動的瞬間進行持續驗證，AI 的出生證明就毫無用處。核發身分和強制執行其邊界是兩個截然不同的營運挑戰。

這正是基於網路的存取控制必須與身分與存取管理 (IAM) 及特權存取管理 (PAM) 平台無縫整合的地方。雖然 IAM 和 PAM 定義了實體及其權限，但實際的強制執行——也就是允許或拒絕存取的瞬間決策——必須在網路層持續發生。代理式 AI 運作速度太快，無法受限於靜態的季度存取審查。

未來之路

最終，每個 AI 代理都是一個身分，需要與過去應用於人類和硬體完全相同、嚴格的治理。美國情報界的立場證實了，保護非人類身分不再是理論上的演練——它是零信任模型演進的必經之路。

現在的關鍵問題不再是 AI 代理是否需要身分，而是組織能多快部署所需的基礎架構來核發、驗證和強制執行這些身分，趕在這些隱形漏洞被威脅行為者積極利用之前。

 

About Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付，或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性，讓企業能夠善用現有的網絡及資訊安全投資。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

影子人工智慧檢測策略

精通影子 AI 偵測：關鍵策略

執行摘要：識別「影子 AI (Shadow AI)」需要超越簡單的封鎖清單。有效的偵測取決於仔細審查異常帳戶、憑證使用情況、程式碼提交、存取模式以及隱藏的 SaaS 整合。
隨著人工智慧在現代工作場所中的採用率激增，偵測影子 AI 已成為安全團隊的關鍵任務。員工越來越常將 AI 工具融入日常工作流程中。然而，當公司核准的選項無法滿足需求時，員工通常會轉向未經授權的外部平台。 數據凸顯了這項任務的急迫性：最近一項由 IBM 支援的研究顯示，80% 的美國上班族在工作中使用 AI，但只有區區 22% 的人完全使用公司認可的工具。這種趨勢在 Z 世代專業人士中最為明顯，其中 35% 的人偏好僅使用個人 AI 工具，大幅超越其他年齡層 14% 的平均值。這些統計數據突顯了影子 AI 的快速擴散，以及對強大偵測機制的迫切需求。

定義影子 AI

就如同其前身影子 IT (Shadow IT)（未經授權使用 SaaS 應用程式與硬體）一樣，影子 AI 是指在未經 IT 部門明確核准或監督的情況下部署人工智慧技術。當員工發現企業提供的 AI 方案不夠用、限制太多或根本不存在時，他們會直覺地尋找個人或未經審查的 AI 服務來填補這項空白。

影子 AI 的機制：它如何傳播

AI 帶來了無可否認的生產力提升，推動了由下而上的快速採用。同一份 IBM 調查指出，75% 的美國上班族在使用 AI 後，生產力獲得了中度到大幅的提升，近三分之一的人每週甚至能節省高達 6 小時。 因此，影子 AI 通常在平凡的日常任務中生根發芽。一名員工可能使用個人的 ChatGPT 帳戶來起草電子郵件；另一名員工則可能將敏感的財務資料輸入 Claude 中以進行快速摘要。由於這些工具極易取得、通常免費，且越來越多地直接內建於網頁瀏覽器與現有軟體中，它們的擴散可說是毫不費力。 關鍵的危險在於，它們繞過了標準的採購、安全與合規審查，瞬間為企業帶來巨大的可視性盲點。

保護您的瀏覽環境

從源頭阻擋基於瀏覽器的威脅。您的第一道防線從企業瀏覽器 (Enterprise Browser) 開始。 探索更多

真實場景：辦公室裡的影子 AI

影子 AI 經常偽裝成無害的效率提升。以下是您現在很可能就會遇到的常見例子：
  • 銷售提案：一位銷售經理將定價層級、折扣利潤以及歷史客戶筆記輸入到個人 AI 帳戶中，以潤飾提案。公司將完全無法得知這些專有資料儲存在何處，或是 AI 模型將如何使用它。
  • 人資回饋：一位人資專業人員使用公開的聊天機器人來總結應徵者面試情況，並將真實姓名和內部評估資料輸入其中。這些資料避開了所有經過核准的內部 HR 系統。
  • 財務摘要：一位財務團隊成員將未發布的原始季度數據貼到 AI 工具中，以產生高階主管評論，從而將高度機密的資料暴露給不受管管制的外部管道。
  • 流氓開發 (Rogue Development)：開發人員將生成式 AI API 整合到內部支援工具中以自動化回覆。因為它不需要大規模的基礎架構變更，所以繞過了正式的安全審查。
  • SaaS 功能切換：行銷團隊開啟了專案管理軟體中內建的 AI 寫作助理。客戶名稱和專案策略突然開始被未經審查的第三方語言模型處理。
這些行為是出於提升生產力的渴望，這正是影子 AI 如此陰險的原因：對使用者來說，它感覺是無害的，但卻在暗中引發嚴重的治理、可視性與資料安全危機。

偵測的挑戰：為何如此困難？

偵測未經授權的 AI 是出了名的困難，因為這些活動完美地模仿了合法的日常工作。隨著 AI 原生地嵌入 SaaS 平台、API 和瀏覽器擴充功能中，看似標準的 API 呼叫或應用程式互動，實際上可能是一個未經授權的 AI 模型在背景處理企業資料。 傳統的安全工具在此顯得捉襟見肘。傳統的資料外洩防護 (DLP) 解決方案非常擅長捕捉大量檔案傳輸或大規模資料庫下載。然而，當使用者將幾行專有原始碼或機密財務摘要貼上至聊天機器人提示框時，它們卻難以偵測。資料量太小，無法觸發傳統 DLP 閾值，但風險依然是災難性的。 靜態規則和簡單的「允許/封鎖」清單缺乏必要的上下文與行為智慧。為了對抗深度交織的 AI 使用情況，組織需要動態、基於行為的偵測策略，以監控跨使用者、基礎架構與整合服務的活動。

影子 AI 的連鎖風險

未能偵測出影子 AI 會給組織帶來嚴重、多面向的風險：
  • 資料外洩：員工無意間將機密的智慧財產 (IP) 輸入 AI 模型中，卻不知道這些資料將如何儲存、用於未來的模型訓練或被分享。
  • 流氓自主行動：影子 AI 代理 (agents) 構成了一種獨特的威脅。這些代理通常擁有跨連線應用程式修改、傳送或刪除資料的權限。未經審查的代理可能會在沒有人類監督的情況下自主轉寄敏感文件或更改紀錄。
  • 法規違規：透過未經授權的 AI 工具處理個人識別資訊 (PII)、財務或醫療保健資料，幾乎註定會違反 GDPR 或 HIPAA 等框架，從而招致鉅額罰款。
  • 攻擊面擴大：未經授權的工具繞過了內部安全標準，為威脅行為者創造了隱藏的漏洞與後門路徑。
  • 聲譽與財務損失：單一由影子 AI 引起的資料外露事件，就足以侵蝕客戶信任並導致直接的財務損失。
  • 營運不可靠：當團隊依賴不同的、未經審查的 AI 工具時，其輸出的準確性會有極大差異，導致基於「幻覺」或不準確資料做出商業決策。

偵測影子 AI 的 5 大策略

有效的偵測需要超越簡單的 URL 封鎖。影子 AI 的真實指標隱藏在身分行為、整合及程式碼環境中。

1. 仔細審查身分模式

從稽核非人類身分開始。安全團隊必須調查新引入的身分、其繼承的特權，以及它們是否繞過了正式的存取權限審查。危險信號包括突然建立服務帳戶、OAuth 應用程式要求過高權限、孤立的程式化身分，或是 API 活動出現異常高峰。影子 AI 通常是透過奇怪的身分行為被揭露，而不是一個可見的應用程式圖示。

2. 映射憑證與機密活動

AI 工具嚴重依賴憑證來與 API 和模型介接。監控新產生的 API 金鑰、硬編碼到 CI/CD 管道中的憑證、在不同環境中被回收使用的長效權杖 (long-lived tokens)，或是與自動化綁定的異常保存庫 (vault) 存取。在您環境中執行的任何 AI 工作負載，其支援憑證都必須明確連結到經過驗證的擁有者與合法的商業目的。

3. 稽核開發成品 (Development Artifacts)

影子 AI 通常早在進入生產環境之前就已滲透進組織。它透過程式碼儲存庫和開發人員工作流程潛入。透過主動檢查建置管道與打包的相依性，安全團隊可以在外部模型 SDK、未經核准的嵌入程式庫或直接的 AI API 整合根植於內部軟體之前就發現它們。

4. 分析授權行為

不要只尋找 AI 身分是否存在；還要分析其行動。影子 AI 經常表現出奇異的授權模式，例如快速的特權提升、自動化身分更改目錄控制，或跨多個系統的複雜連鎖動作（例如，工作流程從 IT 工單系統直接跳到雲端 API）。這些行為異常可以暴露隱藏的 AI 流程。

5. 稽核 SaaS 與第三方整合

影子 AI 在現有的 SaaS 生態系統中蓬勃發展。AI 功能經常透過委派存取權，在受信任的應用程式中被開啟。組織必須持續盤點第三方整合，尋找持久的離線存取，並標記缺乏明確擁有者的連線。因為這些 AI 功能依附於預先核准的 SaaS 權限上，它們可以輕易繞過傳統的 IT 佈建協定。  

關於 NordLayer
NordLayer 是現代企業的自適應性網絡存取安全解決方案，來自世界上其中一個最值得信賴的網絡安全品牌 Nord Security。致力於幫助 CEO、CIO 和 IT 管理員輕鬆應對網絡擴展和安全挑戰。NordLayer 與零信任網絡存取（ZTNA）和安全服務邊緣（SSE）原則保持一致，是一個無需硬件的解決方案，保護公司企業免受現代網絡威脅。通過 NordLayer，各種規模的公司企業都可以在不需要深入專業技術知識的情況下保護他們的團隊和網絡，它易於部署、管理和擴展。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

Discord密碼管理指南

掌握您的 Discord 密碼：如何更改、重設與保護

Discord 已發展成為玩家與線上社群的終極樞紐。無論您是在直播、使用網路電話 (VoIP)，還是在私人伺服器中閒聊，它都是保持聯繫的首選平台。然而，這種受歡迎的程度也讓 Discord 帳戶成為詐騙者和惡意機器人急於劫持使用者憑證的首要目標。為了維護您的帳戶完整性，本指南涵蓋了有關更改、重設和強化 Discord 密碼所需了解的一切，包括轉換至無密碼驗證。

為何要更新您的 Discord 密碼？

一般來說，您需要更新密碼的原因有兩個：忘記密碼或發生安全漏洞。如果您只是忘記了登入資訊，透過關聯的電子郵件或電話號碼進行快速重設就能讓您重新登入。

相反地，如果您的密碼已遭外洩，則需要立即採取行動。更改密碼會強制所有裝置登出，立即將未經授權的使用者拒之門外。此外，如果您在其他地方重複使用了該外洩的密碼，您必須立即在這些平台上更新密碼，以防止帳戶遭駭的骨牌效應。

不確定您的資料是否安全？像密碼健康度 (Password Health) 檢查器這樣的工具可以掃描外露的憑證，讓您能主動保護您的帳戶。

如何更改您的 Discord 密碼

無論您使用的是電腦還是智慧型手機，更新密碼都是一個簡單的過程。您可以在設定中的「帳號 (Account)」區塊找到必要的工具。

在桌機與網頁瀏覽器上

  1. 啟動 Discord 應用程式或前往 discord.com/app.
  2. 找到位於左下角、使用者名稱旁邊的齒輪圖示（使用者設定）。
  3. 在「密碼和安全 (Password and security)」標題下，找到「密碼」區塊並點擊「編輯 (Edit)」。
  4. 輸入您目前的密碼，接著輸入您的新密碼（需輸入兩次以作確認）。
  5. Click「完成 (Done)」。

注意：您將在所有裝置上被登出，並會收到一封確認電子郵件。如果您收到這封電子郵件但並未主動進行更改，請立即聯絡 Discord 支援團隊。

在行動應用程式上

  1. 開啟 Discord 應用程式。
  2. 點擊左下角的個人資料頭像。
  3. 透過右下角的導覽選單點擊「設定 (Settings)」。
  4. Select「帳號 (Account)」。
  5. 在「您如何登入帳號」下方，點擊「密碼 (Password)」。
  6. 輸入您目前的密碼和您想要的新密碼。
  7. Click「更改密碼 (Change password)」。
安全提示：您的新密碼長度應至少為 15 個字元，並混合大寫字母、小寫字母、數字和符號。使用像 NordPass 這樣的密碼管理員可以讓產生和儲存這些複雜的密碼變得毫不費力。

忘記密碼時該怎麼辦

Discord 不允許找回密碼。如果您忘記了密碼，必須使用您連結的電子郵件或電話號碼啟動完整的重設程序。

透過桌機與網頁重設

  1. 開啟應用程式或前往 discord.com/login.
  2. 輸入您的電子郵件或電話號碼，然後點擊「忘記密碼？ (Forgot your password?)」
  3. 檢查您的電子郵件或簡訊，尋找來自 Discord 的訊息。
  4. 點擊訊息內的「在此重設您的密碼 (Reset your password here)」連結。
  5. 建立並確認您的新密碼。

透過行動應用程式重設

  1. 開啟 Discord。
  2. 輸入您的電子郵件地址並點擊「忘記密碼？ (Forgot your password?)」
  3. 開啟復原電子郵件並點擊重設連結。
  4. 輸入您的新密碼。
  5. Click「更改密碼 (Change password)」。

如何尋找已儲存的密碼（無需重設）

在啟動重設之前，請檢查您的瀏覽器或裝置是否在您初次登入時儲存了您的憑證。

  • Google Chrome：點擊三點選單（右上角）>「密碼和自動填入」>「Google 密碼管理員」> 搜尋「Discord」。
  • Android：前往「設定」>「Google 服務」>「所有服務」>「使用 Google 自動填入」>「Google 密碼管理員」> 搜尋「Discord」。
  • iOS：前往「設定」>「密碼」> 驗證身分 > 搜尋「Discord」。

升級您的安全防護：嘗試使用通行密碼 (Passkeys)

Discord 現在支援通行密碼——這是一種利用裝置的生物辨識（指紋/Face ID）或 PIN 碼進行的無密碼驗證方法。它比傳統密碼更快且更安全。

雖然通行密碼位於多因素驗證 (MFA) 標籤下，但它們與傳統基於應用程式的 MFA（您也可以而且應該啟用此功能）不同。

在手機上設定通行密碼

  1. 前往「設定」>「帳號」.
  2. 在通行密碼建議框中點擊「開始使用 (Get started)」（或點擊「安全金鑰」>「新增」）。
  3. 選擇產生通行密碼的方式（例如「使用密碼管理員建立通行密碼」）。
  4. 驗證您目前的密碼。
  5. 依照您的裝置/密碼管理員的提示來建立金鑰。
  6. 為安全金鑰命名並點擊「完成 (Finish)」。
  7. 關鍵步驟：截圖或將您的備用代碼儲存在安全的位置。

在桌機/網頁上設定通行密碼

  1. 前往使用者設定（齒輪圖示）。
  2. 在「密碼和安全」下，點擊「多因素驗證 (Multi-factor authentication)」。
  3. Select「新增安全金鑰 (Add security key)」。
  4. 驗證您的密碼。
  5. Click「開始 (Let’s go)」並依照您的瀏覽器/密碼管理員的提示來建立並命名金鑰。
  6. Click「完成 (Finish)」並安全地儲存您下載的備用代碼。

疑難排解：未收到密碼重設電子郵件

如果重設電子郵件沒有送達，請嘗試以下步驟：

  • 檢查垃圾郵件：您的過濾器可能將其標記為垃圾郵件。
  • 驗證拼寫：一個簡單的打字錯誤就會讓電子郵件寄到虛無之中。
  • 嘗試備用電子郵件：您註冊時可能使用了不同的地址。
  • 使用簡訊：改為透過您連結的電話號碼要求重設。
  • 檢查帳戶是否遭劫持：在收件匣中搜尋「Discord email address changed」。如果有人更改了您的帳戶詳細資訊，請立即聯絡 Discord 支援團隊。
當心網路釣魚：請務必驗證重設電子郵件的時間戳記。如果它與您要求重設的確切時間不符，這很可能是一個騙局。

Discord 帳戶復原期限

如果帳戶被排定刪除（由您或駭客發起），Discord 提供 15 天的寬限期來恢復它。只需使用您的憑證登入並點擊「恢復帳號 (Restore account)」。一旦過了 15 天，資料將被永久清除。注意：因違反 Discord 信任與安全規定而被停權的帳戶無法透過此方法恢復；您必須提交正式申訴。

如何更改您連結的電子郵件地址

需要更新您的聯絡資訊嗎？以下是更改電子郵件的方法：

在桌機/網頁上

  1. 前往使用者設定（齒輪圖示）。
  2. 在「帳號資訊」下，點擊電子郵件旁邊的「編輯 (Edit)」。
  3. Click「傳送驗證碼」並從您目前的電子郵件中獲取該代碼。
  4. 貼上代碼，點擊「下一步」，並選擇您更改的原因。
  5. 輸入您的新電子郵件和您的 Discord 密碼，然後點擊「完成 (Done)」。
  6. 透過傳送到您新地址的電子郵件驗證此變更。

在行動應用程式上

  1. 前往「設定」>「帳號」>「電子郵件」。
  2. Click「傳送驗證碼」並從您目前的收件匣中獲取該代碼。
  3. 貼上代碼並點擊「下一步」。
  4. 輸入您的新電子郵件，點擊「更改電子郵件」，提供您的密碼，然後點擊「完成」。
  5. 驗證傳送到您新電子郵件地址的連結。

使用密碼管理員自動化您的安全防護

失去對 Discord 的存取權限意味著失去您的社群、聊天紀錄和人脈。防止這種情況發生的最佳方法是使用專用的密碼管理員來保護您的憑證。

像 NordPass 這樣的工具將您的密碼、通行密碼和敏感資料集中在強大的 XChaCha20 加密保護之下。它可以產生牢不可破的密碼、自動填入您的登入資訊、在所有裝置間同步，甚至可以掃描暗網以尋找資料外洩事件。簡化您的數位安全，讓您永遠不再遺失密碼。

關於 NordPass
NordPass 由領先全球網路安全產品市場的 Nord Security 公司開發。網路已成為一個混亂的空間，網路犯罪和資料保護問題損害了安全和信任。因此，我們團隊的全球使命是為世界各地的人們塑造一個更值得信賴、更和平的線上未來。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.