資安院主辦「產品資安漏洞獵捕活動」，幫助產品業者在上市前透過外部測試驗證，提前發現潛在風險、強化整體產品安全。（路透資料照）

〔記者邱巧貞／台北報導〕「會不會找不到漏洞？或是產品漏洞太多？」國家資通安全研究院院長林盈達回憶，去年12月舉辦首屆「產品資安漏洞獵捕活動」，啟動之初，外界對成果其實抱持不少疑問。但結果證明，兩種擔心都沒有發生。

林盈達指出，第一，參與的駭客（指179位資安研究員）確實找到了不少漏洞，總共找出20個，其中9項屬於高嚴重等級（包含3個屬於高嚴重性、6個高風險漏洞），「完全不用懷疑台灣駭客的能力，而且下一輪（針對軟體部分）還會更強」。

第二點則是外界曾擔心廠商的產品可能被「打爆」，導致漏洞數量過多、影響獎勵機制運作，但實際上這情況並未出現。整體而言，20組產品中共發現20項漏洞，分布並不平均，有些產品存在多項漏洞，也有產品在測試中未被發現問題。

另一方面，林盈達也強調，未檢出漏洞的產品，代表在高強度測試下仍具備一定防護能力；而被發現漏洞的廠商，反而應視為正面訊號，因為問題是在測試階段被揭露，而不是在市場上被駭客利用，一旦產品外銷至各地市場後才發生資安事件，影響將不僅止於單一客戶，甚至可能波及數萬名使用者，所帶來的風險與衝擊也將大幅提升。

展望後續，資安院規劃於9月啟動第二屆漏洞獵捕活動，將測試重心由硬體設備轉向更複雜的「軟體供應鏈安全驗證」為主軸，針對政府機關常用軟體項目，優先選擇使用率較高或涉及高風險情境之軟體進行驗證，並導入AI工具進行漏洞挖掘。

林盈達表示，相較首屆，第二屆將呈現三大轉變：首先，在資金方面主管機關已找到經費支持；其次在測試標的，首屆以硬體設備為主，包括網通設備、儲存設備及伺服器等，皆為台灣具競爭優勢的產業領域，亦有多家相關廠商參與，如工業電腦與伺服器設備業者，以及網通設備廠商等，第二屆則將重心轉向複雜度更高、攻擊面更廣的「軟體」系統，鎖定國內政府機關廣泛使用、由本土廠商開發的系統。

第三，在工具運用上，首屆活動仍以人工測試為主，第二屆則將鼓勵導入AI工具進行漏洞挖掘，包括自動化測試與分析流程，以大幅提升檢測效率，同時也可能提高漏洞被發現的機率。