人工智慧（AI）技術快速發展，卻也成為駭客發動網路攻擊的新利器！美國聯邦調查局（FBI）13日發布最新資安警報，示警原本用於合法滲透測試的開源AI工具「ARTEX」，已遭駭客濫用，成為自動化入侵企業系統、竊取敏感資料的攻擊工具。FBI指出，至少從今年8月起，全球金融、政府、國防、半導體、能源及科技等多個產業陸續成為攻擊目標。值得注意的是，這波AI網攻威脅也已延燒台灣，電商平台服務商91APP證實遭到ARTEX相關攻擊，最大可能影響範圍涉及1329家品牌、近480萬名消費者，凸顯AI駭客攻擊帶來的資安危機。

根據FBI於11月13日發布、編號「FLASH-20261113-001」的資安警報，ARTEX是一套由大型語言模型驅動的自主式滲透測試框架，能透過AI代理執行系統偵察、弱點分析及後續入侵操作，甚至將資料竊取納入自動化攻擊流程。過去駭客必須耗費大量時間，逐步尋找漏洞、取得帳號權限，如今透過AI工具，就能加速執行多個攻擊階段，並同時鎖定不同企業，大幅提高網路攻擊的規模與效率。

ARTEX最初於今年7月在GitHub公開，原本設計供資安人員進行授權測試，本身並未內建大型語言模型，而是能串接外部AI服務，由使用者設定測試目標，再交由AI代理規劃與執行相關操作。然而，隨著工具遭到惡意利用，原始開發者已於10月將專案下架，但相關程式碼仍透過其他開發者建立的分支及修改版本持續流傳，並未因此消失。歐盟資安應變中心（CERT-EU）也在11月5日發布警告，指出ARTEX不僅能尋找傳統軟體漏洞，也能快速辨識企業系統設定錯誤，讓攻擊者更容易找到入侵破口。

AI駭客的攻擊速度更令人憂心。根據微軟先前揭露的調查，中國背景駭客組織「Storm-0940」曾利用ARTEX對全球數百家企業發動攻擊，雖然多數攻擊未能得逞，但部分案例在不到3小時內，就成功取得企業雲端環境的高階權限。駭客還曾利用遭竊的ConnectWise應用程式憑證，對超過2250個Microsoft 365租戶發動登入嘗試，企圖透過企業與第三方服務商之間既有的信任關係，進一步滲透客戶系統。不過，這並不代表2250個租戶全部遭到成功入侵。

這波攻擊威脅也已在台灣造成實際衝擊。國內電商SaaS服務商91APP於10月29日公布資安事件調查結果，證實駭客利用ARTEX自動化攻擊工具，透過第三方系統弱點進入內部網路，並非法存取Commerce Cloud平台的訂單資料庫，部分資料已遭竊取。91APP表示，相關入侵行動已於10月14日遭到阻斷，但由於無法確認每一筆受影響訂單，因此以最大可能影響範圍估算，涉及1329家品牌、479萬8255名消費者。

91APP指出，可能受影響的個人資料包括消費者姓名、電話號碼、配送地址、電子郵件及訂單紀錄，但不包含帳號密碼、信用卡及其他支付資料。公司董事長何英圻也為事件造成的影響及通報處理疏失公開致歉，承諾強化零信任架構、導入AI異常偵測與自動回應機制，並持續與外部資安專家合作改善防護。

不只91APP，台灣另一家電商平台服務商Cyberbiz也傳出資安事件。興櫃公司遠東生技11月5日公告，接獲Cyberbiz營運業者順立智慧通知，旗下電子商城使用的資料庫遭到未經授權的異常存取，相關資料涉及訂單及消費者個資，實際影響範圍仍待釐清。不過，目前公開資訊尚不足以證實Cyberbiz事件同樣使用ARTEX工具，兩起事件的攻擊手法及關聯性仍須分別調查。

資安專家提醒，AI自動化攻擊最值得警惕的，不只是大型企業主要網站遭到入侵，更包括長期被忽略的第三方系統、供應商入口網站、員工內部應用程式及雲端服務授權。這些系統一旦存在未修補漏洞，或遭駭客取得帳號與應用程式憑證，就可能成為進一步入侵其他企業系統的跳板。資安業者Datadog近期也發現，ARTEX已被用於針對Amazon Web Services（AWS）雲端環境的攻擊，企圖搜尋金融資料及敏感存取金鑰。

隨著AI網攻威脅升高，企業除了必須儘速修補對外系統漏洞，也應重新檢查雲端服務、第三方應用程式授權及異常登入紀錄，避免重要帳號與存取憑證遭到濫用。對一般民眾而言，若曾使用受影響的電商平台，也應提高警覺，留意假冒客服、物流通知、退款或訂單異常的詐騙訊息，切勿隨意點擊不明連結或提供驗證碼，以免個資外洩風險進一步演變成詐騙損失。

數位發展部資通安全署11日也發布資安警訊，指出台灣已有十餘家企業及網路平台接連受害，部分事件涉及ARTEX等AI自動化攻擊工具。資安署12日進一步表示，相關事件影響約800萬筆個資，但並非全部都能歸因於ARTEX。資安署呼籲企業落實「補漏洞、快通知、個資最小化」三大原則，並建議發現個資外洩的業者，應在72小時內通報主管機關、通知受影響民眾及採取有效防護措施。

資安署也提醒，詐騙集團可能利用外洩的真實訂單資訊，假冒客服或物流人員取得民眾信任，即使對方能準確說出姓名、購買商品及配送資訊，也不代表就是官方人員。民眾若接獲要求操作ATM、網路銀行解除扣款，或透過通訊軟體辦理退款的通知，應立即提高警覺，並撥打165反詐騙專線查證，避免成為個資外洩後的二次受害者