87%企業資安長預期2027年資安支出增加，七大挑戰全與AI有關

員工超過1,000人的企業中，87%的資安長預期2027年資安支出將增加；受訪者列出的2027年七大首要挑戰則全都與AI有關。

安德森·霍洛維茲（Andreessen Horowitz）28日公布《新安全議程》報告，調查100名企業資安長（CISO），了解預算、資安工作優先順序及2027年採購計畫。

調查顯示，新增預算主要將用於資安工具。近半受訪者預期會增加資安人力，約另有一半預期維持現有人力，預期裁員的受訪者占4%。新增支出預計用於調查積壓的資安警示、檢查企業內部應用程式，以及加快修補漏洞。

受訪者回顧2026年時，最常提到的挑戰是攻擊面與漏洞管理，以及資安資訊與事件管理（SIEM）。展望2027年，資安營運中心（SOC）自動化獲得最多第一順位票；企業內部AI代理的安全，以及從攻擊者角度進行的資安測試，優先順位也大幅上升。

採購計畫與實際導入情況仍有落差。目前有18%的受訪者表示，已在正式營運環境使用AI資安監控工具；另一方面，45%計畫在12個月內新購或大幅升級企業內部AI代理資安產品。同期，計畫購買或升級攻擊者視角資安測試工具的占42%，AI使用與管理工具則占38%。

企業導入AI，也擴大了資安防護範圍。92%的受訪企業已在正式營運環境導入員工使用的生成式AI工具，即使目前僅限特定用途；導入程式碼輔助工具或代理的企業占83%。使用MCP伺服器等工具串接AI代理與應用程式的企業占55%。

受訪者最常提到的疑慮，是員工將敏感資訊輸入AI工具，占47%；擔心AI代理越權或遭入侵的占46%，擔心提示詞注入或透過AI應用程式外洩資訊的占29%。另有63%表示，資安審查與核准流程、限制特定用途等措施，已使部分AI導入進度延後。

報告也將攻擊速度列為影響資安優先順序的背景因素。報告引用貝恩（Bain）的估算指出，AI可能將一般攻擊流程所需時間從約4週縮短至約18小時。83%的受訪者認為，更頻繁地測試資安狀態很重要，其中54%認為非常重要。

目前有18%的受訪者表示，已持續對正式營運中的資產進行攻擊安全測試；52%預期一年內能做到這一點。至於5年後，44%預期只要程式碼或基礎設施有所變更，資安測試就會納入CI/CD流程。

報告也指出，只加快找出漏洞，並不代表資安工作已完成。一名參與報告的金融科技公司資安長表示：「AI工具能更快找到漏洞，但修補速度不一定會跟著加快。」這反映出受訪者也重視後續修補與驗證：70%希望工具能重新測試已修補的漏洞並確認問題是否解決，67%希望依據漏洞實際遭利用的可能性安排修補順序，57%則希望工具能自動提出修補方案或產生工作指示。

AI代理應獲得多少自主權，仍是企業面臨的課題。目前有36%的受訪者表示，可接受代理自主執行低風險措施；預期12個月後能接受同等自主程度的比例為60%。僅7%願意在大多數情況下允許代理自主行動。

採購AI資安功能時，企業通常會先考慮既有供應商。44%的受訪者表示會先在現有資安平台尋找所需功能，優先考慮AI專業資安業者的占21%。不過，若既有供應商無法填補功能缺口，47%表示仍可能選擇新創業者。

比較產品也不容易。部分AI資安領域的供應商多達43家；一家全球服飾企業的資安長表示，曾將概念驗證的候選業者從7至8家縮減至3家。報告提醒買家評估產品時，應檢視系統無須人為介入就能實際處理多少工作、分析人員後續需要投入多少心力、代理在正式環境獲得哪些權限，以及判斷過程是否可供稽核。

本刊先前曾報導Solana基金會資安長對AI詐騙與帳戶遭盜風險的警告。此次調查對象為員工超過1,000家企業的資安長，報告未分別列出各產業結果，因此不能將87%直接視為台灣虛擬資產企業的預算計畫。