← 返回事件分析列表
分析日期：2026-11-06分類：AI 攻擊手法原始來源：TrendAI標籤：TrendAI國家級駭客AI 代理DeepSeekTeamT5

1. 事件概述

TrendAI 的研究《AI Statecraft and Cyberthreats in 2026：How National AI Ecosystems Shape APT AI Adoption》（作者 Asako Koizumi、Feike Hacquebord）指出，國家級駭客（APT）用 AI 的方式，和只求獲利的網路犯罪集團不同：APT 不以獲利為主要動機，能不能用上 AI，取決於四個條件——國家策略與軍民融合、電力與算力、學術研究與創新、取得先進晶片的管道。條件不同，四個被研究的國家就走出四條不同的路：中國自己養、俄羅斯省著用、北韓借來用、伊朗租來用。

這不是「誰的模型最強」的比賽。TrendAI 的結論是：只要拿得到夠好的模型，就能產生實質的作戰效果；真正決定能打多久、打多穩、被封掉後能不能接手的，是本國 AI 生態的深度，以及有沒有替代管道。防守方因此不能只盯著某一個模型或某一個帳號：封掉一個管道，不等於對方就沒模型可用。

2026 年的另外三條線索，讓這個框架不只是理論。Anthropic 揭露的 GTG-1002 行動中，AI 扛下了大部分的戰術工作；Google GTIG 記錄到第一宗研判由 AI 開發的零日漏洞（見第 4 節的證據限制）；臺灣的資安署也在 2026 年 10 月 21 日說明，監控單位於 2026 年 7 月發現境外駭客以 AI 代理工具攻擊政府機關與產業。AI 已經不是未來的威脅想像，而是正在改變攻擊速度與規模的現實條件。

2. 時間線

  • 2024 年 2 月 14 日：Microsoft 與 OpenAI 聯合披露，封停五個國家相關組織使用其 AI 服務的帳號：中國相關的 Charcoal Typhoon、Salmon Typhoon，伊朗相關的 Crimson Sandstorm，北韓相關的 Emerald Sleet，俄羅斯相關的 Forest Blizzard。當時這些帳號的用途多為前期準備工作，如查詢公開資訊、翻譯、找程式錯誤、寫基本程式碼。
  • 2025 年 9 月：Anthropic 偵測到 GTG-1002 行動；同年 11 月公開披露（見第 3.3 節）。
  • 2026 年 5 月 11 日：Google GTIG 發布 AI Threat Tracker 報告，記錄第一宗研判由 AI 開發的零日漏洞案例：一個網路犯罪集團用 AI 模型找出一個開源網頁管理工具的漏洞並寫出利用程式，目標是繞過雙因素驗證；Google 與廠商合作修補，在對方大規模利用之前攔下這波行動（見第 4 節的證據限制）。
  • 2026 年 7 月：臺灣資安監控單位發現境外駭客發動 AI 代理工具（AI Agent）攻擊政府機關與產業；受影響範圍包括民間企業（能源、政府供應商）、公共服務暨專業組織、外國企業（國防科技、法律科技）。此事由數發部資安署於 2026 年 10 月 21 日記者會上說明。
  • 2026 年 8 月 24 日前後：彭博報導 TeamT5 的研究指出，中國相關駭客團體在把日常工作與惡意程式開發交給 AI 後，攻擊量增加逾一倍；DeepSeek 因相對夠用、限制較少、成本較低而受青睞（TeamT5 單一來源觀察，見第 4 節）。
  • 2026 年 11 月：TrendAI 發布《AI Statecraft and Cyberthreats in 2026》研究摘要，提出四國路徑框架（報告日期依報導為 2026 年 11 月 1 日）。

3. 技術分析

3.1 四個條件，決定四種打法

TrendAI 提出的四個條件，白話說就是：國家有沒有把 AI 當成戰略在推、電夠不夠、研究人才夠不夠、拿不拿得到先進晶片。四個條件的組合不同，APT 用 AI 的方式就不同：

  • 中國｜自己養：結構基礎最強。研究產出、本國模型生態、軍民融合框架與基礎建設投資，讓中國相關團體既有先進能力，也有本國備案。TrendAI 記錄到中國相關團體用 AI 做弱點研究、利用程式改寫、惡意程式開發與入侵後活動，其中一宗疑似案例中，操作者在入侵過程中從西方模型切換到中國本國模型。
  • 俄羅斯｜省著用：在資源受限與制裁、出口管制下，把 AI 當成放大器。TrendAI 報告指出，俄羅斯相關團體用大型語言模型做偵察、寫程式、惡意程式開發、混淆與即時指令產生；至少一宗間諜行動中，AI 貫穿整個入侵流程。TrendAI 明說：俄羅斯不需要本國最前沿的模型，也能從 AI 獲得作戰效果。
  • 北韓｜借來用：以取得管道代替基礎建設。國內算力不足，就用外國 AI 服務、海外人員與本地小模型來補。TrendAI 報告指出，這套組合撐起了求職詐騙、社交工程、惡意程式相關活動與情報蒐集。
  • 伊朗｜租來用：本國前沿 AI 生態受限，但大量使用商業 AI 服務。TrendAI 報告指出，伊朗相關團體用 AI 做針對性社交工程、偵察、弱點研究、寫程式、惡意程式開發與影響力操作；但依賴託管服務的另一面，是平台方有機會從自家端偵測與阻斷——這正是租來的代價。

3.2 租來的弱點：平台方看得到、封得了

2024 年 2 月的 Microsoft 與 OpenAI 披露，是「租來用」弱點最早的公開示範：五個國家相關組織的帳號被終止。當時被封的用途還在前期準備階段，尚未構成新型攻擊手法，但它證明了一件事——用別人的服務，就要接受別人的規則：帳號可以被停，活動可以被看見。

TrendAI 在四國框架中對伊朗的判斷與此呼應：商業服務讓能力取得變得容易，但也把偵測與阻斷的機會交到平台方手上。對防守方來說，這是一個可以利用的不對稱：異常的 AI 服務連線（例如來自伺服器或非預期主機的連線）本身就是值得監看的訊號，但不能只依賴這一招——因為對手一旦轉向本國模型或本地部署，這條視線就會變暗。

3.3 GTG-1002：AI 當操作員，人還在關鍵節點上

Anthropic 披露的 GTG-1002，是目前最接近「AI 代理攻擊」完整樣貌的公開案例。Anthropic 研判，攻擊者是中國政府支持的團體（高信心研判），在 2025 年 9 月被偵測到，目標約 30 個組織，涵蓋科技公司、金融機構、製造業與政府機關，並有少數入侵獲得驗證成功。

Anthropic 的說法是：攻擊者把 Claude Code 放進自製的攻擊框架，讓 AI 執行偵察、弱點探查、利用程式開發、憑證竊取、橫向移動、資料分析與外洩等戰術工作，約占戰術工作的 80% 至 90%；人類則留在 4 至 6 個決策點上——選目標、啟動行動、批准從偵察轉入利用、批准使用竊得的憑證、決定最終外洩什麼資料。所以它不是「完全無人攻擊」，而是「人類下關鍵指令、AI 跑完整條戰術鏈」。

這宗案例也提醒防守方：AI 代理會犯錯。Anthropic 指出，Claude 在行動中曾捏造憑證、誤判情境，甚至把公開資訊說成是竊得的機密。AI 讓攻擊變快、變多，但沒有讓攻擊變得完美——防守方的行為偵測（異常的工具呼叫順序、短時間內的大量請求、非上班時間的橫向移動）仍然抓得到它。

3.4 臺灣的 2026 年 7 月：AI 代理工具已經打到政府機關門口

數發部資安署於 2026 年 10 月 21 日舉行「新型態 AI 攻擊來襲」記者會，署長蔡福隆表示，新興 AI 大幅降低攻擊成本、提升攻擊速度與範圍。資安署在會上說明：資安監控單位於 2026 年 7 月發現境外駭客發動 AI 代理工具攻擊政府機關與產業，受影響包括民間企業（能源、政府供應商）、公共服務暨專業組織、外國企業（國防科技、法律科技）。

資安署給的防守方向只有兩大重點，恰好對上本文的主軸：第一，縮小攻擊面——減少暴露資產、優先修補漏洞、嚴密帳號管理，讓 AI 自動掃描找到的入口變少；第二，做好備份備援——採 3-2-1 原則（3 份資料、2 種媒介、至少 1 份離線或不可刪改），並對異常改名、加密、備份刪除與非上班時間登入建立告警。因為 AI 改變的是速度與規模，防守的基本功沒有變，只是必須做得更快、更完整。

4. 歸因與證據限制

  • TrendAI 的四國框架是研究機構的分析框架，不是各國官方承認的作戰手冊。各國路徑的描述來自 TrendAI 自身研究與近年公開報導的彙整，個別行動的歸因仍以各原始報告的研判為準。
  • GTIG「首個 AI 開發零日」是 GTIG 的研判，不是定論。GTIG 的依據是程式碼特徵（例如一個捏造的 CVSS 分數、教學式註解等被視為 AI 生成的痕跡），且該案的行為者是網路犯罪集團、不是國家級團體；本篇引用它，是為了說明 AI 開發利用程式的能力門檻已經被跨過，不是為了證明某個國家已經用 AI 做出零日漏洞。
  • TeamT5 的觀察是單一來源。TeamT5 指出中國相關團體在採用 AI 後攻擊量增加逾一倍、DeepSeek 受青睞的原因是相對夠用且限制較少；但 TeamT5 自身也承認，並非每次入侵都能確定用的是哪一個模型，且公開報導中未說明「增加逾一倍」的比較基準時段。因此本篇只寫「TeamT5 觀察」，不把「逾一倍」當成精確量測，也不把所有中國相關 AI 攻擊都歸於 DeepSeek。
  • GTG-1002 的歸因與細節目前主要來自 Anthropic 單方披露。Anthropic 說明其偵測來自自家平台的異常使用監控（請求模式、工具呼叫順序、跨時段的持續操作），並已封停相關帳號、通知受影響組織與主管機關；截至本篇撰寫時，尚無獨立第三方鑑識報告公開驗證同一行動的全貌。
  • 臺灣 2026 年 7 月的 AI 代理攻擊，資安署公開說明中未公布攻擊者身分、受影響機關名單與詳細技術指標，本篇不補充未經證實的數字或歸因。外界研究機構流傳的帳號數、資料筆數等數字，因非資安署公開說明內容，本篇不引用。
  • 本篇不推估臺灣境內的受影響規模，也不把四國框架直接套用到臺灣個案上：資安署說明的是「境外駭客」使用 AI 代理工具，未指明是哪一國的團體。

5. 防守建議

對一般使用者與中小企業：

  • 縮小攻擊面：把對外開放的服務盤點一次，關掉不需要的入口；漏洞修補排優先順序，先修正在被利用的、對外暴露的。AI 掃描找的就是你沒關好的門。
  • 帳號要上鎖：重要帳號開啟 phishing-resistant 的多因素驗證，定期檢查不再使用的帳號與授權；AI 代理攻擊最愛偷的，就是能直接拿來用的憑證。
  • 備份要能還原：依 3-2-1 原則保留備份，至少一份離線或不可刪改，並實際演練過還原流程；被攻擊後能不能快速復原，取決於備份做得紮不紮實。

對企業與政府機關防守團隊：

  • 看行為，不看模型：監看異常的 AI 服務連線（特別是來自伺服器或非預期主機的連線）、短時間大量請求、異常工具呼叫順序與非上班時間的橫向移動。AI 換了模型還會留下行為痕跡。
  • 強化身分與委外管理：對 AI 公司、科技業等 APT 關注的目標，落實更嚴格的身分驗證、承包商與遠端工作者入職審查、最小權限；北韓「借來用」路徑中的海外人員管道，正是從人員與委外環節下手。
  • 別把封帳號當成結案：平台方封停一個帳號後，對手可能切換到本國模型或本地部署。防守要以端點與行為偵測為主、服務連線監看為輔，並把 AI 相關的日誌集中保存，確保事後追查能力。

6. 原始來源

← 返回事件分析列表