「我們沒有辦法去擋住所有的外來攻擊。」在12日的跨業別資安長會議後，金管會資訊服務處處長林裕泰說出這句讓人警醒的話。這不是宣告銀行防線必然失守，而是點出金融資安韌性的核心：萬一外部威脅闖進來，內部仍須有足夠防禦，及時擋下。不能一道門失守，火就一路燒進去。
面對近期國內外資安事件與AI攻擊風險，金管會提出4大防禦方向。
第一步：縮小「爆炸半徑」，不讓一把火燒掉整座城。
基本功還是保命底線！林裕泰強調，金融機構應優先掌握對外曝險，並縮減到最小。尤其外部人員與特權帳號的存取，要依零信任原則，導入多因子驗證、落實最小權限，並有足夠監控措施。內部則逐步落實「網路分段」。就像船艙設置防水隔間，目的是縮小攻擊的「爆炸半徑」，避免一處遭入侵，災情繼續往其他區域蔓延。
第二步：補洞也要檢傷分類，危險的先處理。
AI很擅長找漏洞，但修補能量不是無限。林裕泰指出，金融機構可能面臨漏洞大量出現、來不及修補的狀況，後續政策或規範可能需要朝風險導向調整。面對同時冒出的漏洞，銀行得學會「戰場檢傷分類」：會容易被利用嗎？能形成AI自動化攻擊嗎？會不會讓攻擊者取得系統控制權？依這些指標重新排定優先順序。這不是其他漏洞就可以放著不管。林裕泰強調，漏洞仍要補；金融業必須掌握自己的資安基礎設施，有能力辨識哪些風險應優先處理。
第三步：董事會也得跟上，給足資源才能打仗。
AI已經改變攻擊型態，高層看懂了嗎？林裕泰表示，不只是資安長，經營管理階層與董事會也應掌握這項變化，適時給資安長、資安部門、資訊同仁及相關權責單位足夠資源。過去針對人類駭客的防護，面對AI攻擊不見得能完全偵測、抵擋，需要適時調整。要守住客戶的錢與銀行招牌，資源就得跟上，不能只要求第一線同仁扛住。
第四步：用魔法打敗魔法，審慎評估「以AI對抗AI」。
駭客開始用AI，金融業也得評估防禦型AI能幫上什麼忙。金管會希望金融業在風險可控的前提下，優先將AI應用於漏洞偵測、漏洞修補、情資分析與資安監控。不過，林裕泰也提醒，AI用於防禦同樣有風險，導入必須審慎評估。
對銀行來說，新的考題已經擺在眼前：駭客加速找洞，銀行有沒有能力排定修補順序？萬一外部防線被突破，內部能不能及時攔住？客戶的存款與資料，絕不能只靠一句「我們很重視資安」來守護。
