IBM報告:92% AI安全事件源於訪問控制缺失，AI相關洩露成本達533萬美元

IBM 最新發表的《2026 年數據洩露成本報告》揭示了一個關鍵趨勢：絕大多數人工智慧安全事件並非來自模型本身的漏洞，而是企業在基礎安全層面長期存在的疏忽。這份由 Ponemon 研究所針對全球 602 家企業進行的調查顯示，在曾發生 AI 相關安全事件的受訪機構中，高達 92% 缺乏完善的 AI 系統訪問控制措施，導致訪問權限管理成為數據洩露最主要的誘因之一。報告進一步指出，約有五分之一的人工智慧安全事件直接源自於系統的外圍基礎設施，例如應用程式介面（API）遭入侵、連接應用存在已知或未知的漏洞，或是雲端服務的配置錯誤。

這些問題往往不需要複雜的攻擊手法即可被利用，凸顯出多數企業在 AI 部署的過程中，仍未將基礎安全防護提升到與模型開發同等重要的地位。值得注意的是，企業採用開源模型或專有模型，對於事件發生概率的影響並不明顯，顯示風險並非來自模型選擇，而是來自周遭環境的管理品質。從成本角度來看，涉及人工智慧的數據洩露事件平均損失達到 533 萬美元，明顯高於未涉及 AI 事件的 470 萬美元。這份報告同時衡量了全球所有數據洩露事件的整體平均損失，2026 年這個數字較前一年增長了 12%，達到 499 萬美元。

更令人警惕的是，當攻擊者本身也借助 AI 工具來發動攻擊時，受害企業的平均損失進一步攀升至 604 萬美元；相較之下，未使用 AI 輔助的攻擊事件平均損失為 503 萬美元。這顯示 AI 不僅成為企業防禦的雙刃劍，也讓攻擊者的效率與破壞力大幅提升。IBM 在報告中強調，隨著 AI 系統加速融入企業的核心業務流程，從身份認證、存取權限管理到雲端環境配置等基礎安全能力，必須重新獲得重視。這些措施雖然看似基本，卻能在絕大多數情況下有效阻斷攻擊路徑，降低 AI 安全風險與數據洩露成本。

報告的結論是，企業不應將目光只放在模型演算法或訓練資料的保護，而應從更根本的訪問控制與基礎設施合規入手，才能真正防範日益嚴峻的 AI 安全威脅。這份報告的發布時機正值全球企業大規模導入生成式 AI 與各類機器學習應用的高峰期。許多組織在追求快速部署的壓力下，往往將安全措施視為後續補強項目，導致大量 API 接口、雲端儲存桶與內部網路權限處於開放或弱控管狀態。IBM 的數據再次印證，這些安全缺口正是攻擊者最愛利用的捷徑，而 AI 系統的加入有時反而會放大既有問題的影響範圍與嚴重程度。除了成本數字，報告也反映了企業在 AI 安全上的認知落差。

儘管多數受訪者承認 AI 帶來了新的風險維度，但實際投入資源強化訪問控制的比例仍偏低。IBM 認為，這與企業普遍將 AI 安全等同於「模型安全」的迷思有關，忽略了模型本身只是整個系統的一環，真正決定安全邊界的是週遭的基礎設施與權限管理機制。總結來說，《2026 年數據洩露成本報告》提供了一個清晰的警示：AI 安全事件的根源不在於 AI 技術本身，而在於人類組織對基礎安全紀律的鬆懈。當企業忙於追趕 AI 應用浪潮時，若未能同步補強訪問控制、雲端配置與 API 防護等基本功，未來將不得不面對更高昂的數據洩露成本。

IBM 建議，企業應立即檢視自身 AI 系統的存取權限清單，並建立持續監控與自動化回應機制，才能將風險控制在可承受的範圍內。