AI將如何在2025年轉化網絡安全和增壓網絡犯罪

2024年的網路安全環境因嚴重的勒索軟體攻擊、AI驅動的社交工程以及國家支持的網路行動造成數十億損失而震盪。進入2025年，AI進展、地緣政治緊張局勢與日益複雜的攻擊面將為網路安全環境帶來更大挑戰。

安全專家正準備迎接可能是網路防禦中最艱難的一年，攻擊者使用更先進的工具與策略。根據當前威脅情報和新興攻擊趨勢，以下是可能定義2025年的五個關鍵網路安全預測：

勒索軟體演變為數據破壞與操縱

勒索軟體不再僅限於勒索數據，而是轉變為廣泛破壞的工具。這類攻擊已成為網路威脅的常態，組織花費數百萬以重新獲得加密數據的訪問權。但遊戲正在改變。2025年，勒索軟體團伙預計將超越簡單的加密與竊取，目標是損害關鍵數據的完整性。

想像攻擊者破壞醫院醫療記錄或操縱銀行財務數據的情景。後果可能遠超財務損失，威脅生命並侵蝕對機構的信任。來自Broadcom的Symantec威脅獵人團隊的Dick O'Brien指出：“勒索軟體本身變化不大，我們看到一些小調整與改進。然而，勒索軟體攻擊鏈中出現了真正的創新。平均成功的勒索軟體攻擊是一個複雜的多階段過程，涉及多種工具與攻擊者的大量親手操作。”

O'Brien指出，轉變是由工具與策略的演進驅動。“主要趨勢是遠離惡意軟體。如今攻擊者使用的多數工具是合法軟體。在許多攻擊中，我們看到的唯一惡意軟體是勒索軟體本身，在最後一刻引入並運行。”

來自網路安全與基礎設施安全局（CISA）的近期研究顯示，勒索軟體運營者的複雜性日益增加，現在使用AI與自動化執行更快、更精準的攻擊。

組織能做什麼

• 實施先進的備份與災難恢復策略。
• 優先進行數據完整性檢查以發現任何篡改。
• 投資於端點檢測與響應（EDR）工具，快速識別並隔離威脅。

AI驅動的攻擊將超越人類防禦

AI正在改變產業，網路犯罪也不例外。2025年，攻擊者將使用AI發動高度針對性的釣魚活動、開發先進惡意軟體，並以極快速度定位系統漏洞。這些AI驅動的攻擊將考驗最精密的網路安全團隊，因為威脅的數量與複雜性將超過人工防禦的應對能力。

一個典型例子是使用生成式AI製作深偽音頻與視頻，這些可欺騙身份驗證系統或傳播錯誤信息。去年幾起高調案例顯示，深偽技術令人不安地具有說服力，暗示其在網路攻擊中的濫用潛力。

來自LastPass資訊安全團隊的Alex Cox評論：“網路犯罪對手群體具有機會主義與創業精神，迅速採用新技術。深偽、人工智慧與大型語言模型（LLMs）的使用是這一演進的下一步。攻擊者通過社交工程在攻擊初期與受害者建立信任，通常冒充目標組織內的決策者。”

AI驅動攻擊的危險在於其可擴展性。攻擊者可程式化AI在幾分鐘內破解數千個帳戶的弱密碼，或比人類更快地掃描整個企業網路的漏洞。

組織能做什麼

• 部署AI驅動的防禦工具進行即時網路監控。
• 培訓員工辨識由AI製作的精密釣魚企圖。
• 與產業夥伴合作分享新興AI驅動威脅的情報。

網路安全的貓鼠遊戲進入一個新加速階段，AI成為攻擊者與防禦者的主要工具。

關鍵基礎設施將成為主要目標

2024年，關鍵基礎設施的攻擊成為頭條，從歐洲能源網到美國水務系統。2025年這一趨勢預計將加劇，國家與網路犯罪分子專注於擾亂社會最依賴的系統。這些攻擊旨在以最小的努力造成最大混亂，日益成為地緣政治衝突的武器。

關鍵基礎設施的脆弱性因老舊系統與分散的安全協議而加劇。例如，許多能源網仍依賴未設計用於抵禦現代網路攻擊的舊技術。運營技術（OT）與資訊技術（IT）的日益互聯也帶來新漏洞。

Black & Veatch全球工業網路安全副總裁Ian Bramson警告：“許多水務公司與公用事業在工業網路計劃中缺乏基礎。他們尚未建立對OT網路的可視性或防止、檢測、應對攻擊所需的控制。”

Bramson強調將工業網路視為安全問題的必要性。“這些系統的虛擬攻擊可能對現實世界產生重大物理影響。將網路視為安全問題要求採取行動並優先分配資源。所有公用事業都重視安全，將其延伸至網路安全使其獲得應有的優先級。這關乎公共福祉與員工安全，使OT對水務公用事業至關重要。”

組織能做什麼

• 與CISA等政府機構合作識別並減輕漏洞。
• 分割OT與IT網路以限制違規影響。
• 投資於關鍵系統的持續監控與即時威脅檢測。

保護關鍵基礎設施不僅關乎網路安全，更是國家安全問題。

供應鏈攻擊將升級

全球業務的互聯性為供應鏈攻擊創造了溫床。這些違規利用第三方供應商的漏洞，使攻擊者通過單一入口滲透多個組織。2025年，專家預測這些攻擊將更頻繁且複雜。

SolarWinds網路攻擊是一個鮮明例子，通過針對廣泛使用的軟體供應商危害了數千個組織。同樣，Kaseya勒索軟體攻擊顯示小型供應商如何成為通往大型企業的入口。供應鏈攻擊尤其陰險，因為它們利用公司與供應商之間的信任關係，通常數月未被發現。

政府與監管機構正採取行動。2024年，美國與歐盟引入了供應鏈安全新指南，強調透明度與問責制的需要。然而，僅靠合規無法阻止不斷改進方法的攻擊者。

Absolute Security資訊安全、風險與合規副總裁Matti Pearce解釋：“資訊安全長（CISOs）需要創新的檢測與監控技術，以發現可能無法直接在網路流量中觀察到的未授權AI應用。專注於用戶教育並提供安全的、經批准的AI工具將是減輕這些風險的核心策略。AI使用的增長超過其安全性，導致AI攻擊AI，為企業用戶創造了一場完美的威脅風暴。”

Pearce補充：“安全行業仍不知如何有效保護AI。人為錯誤，而非惡意對手，將是這一預期衝突的原因。隨著AI採用的增加，我們預計在已脆弱的供應鏈中看到AI毒化。關鍵的AI缺陷可能成為新穎且未被發現的攻擊入口，造成重大經濟破壞。”

組織能做什麼

• 對所有第三方供應商進行徹底的安全審計。
• 實施零信任原則以限制受損夥伴的影響。
• 使用威脅情報主動識別並應對供應鏈漏洞。

供應鏈的安全僅與其最薄弱環節一樣強大。

網路安全職場技能差距將擴大

網路安全行業正面臨嚴重的人才短缺。ISC²報告顯示，2024年全球有超過340萬個網路安全職位空缺，預計2025年這一數字將增長。這種勞動力差距隨著對熟練專業人員的需求持續上升而構成重大挑戰。

問題不僅在於數量，還在於專業技能。許多組織難以找到精通威脅情報、AI驅動防禦與雲端安全的員工。過度負擔的團隊面臨更高的 burnout 風險，導致更高的離職率並惡化問題。

Dick O'Brien觀察：“犯罪地下世界正在發生權力平衡的轉變，需要人類解決方案。歷史上，大型勒索軟體家族的運營者位於網路犯罪食物鏈的頂端。他們使用勒索軟體即服務（RaaS）模式將業務外包，‘附屬’攻擊者租用其工具與基礎設施以換取贖金分成。然而，這一模式的意外後果是將更多權力交給附屬者，他們可以在一個運營被關閉時迅速轉向競爭對手。勒索軟體運營現在互相競爭附屬者，提供越來越好的業務條件。”

為解決這一危機，組織正在探索創意解決方案。技能提升計劃與內部培訓計劃正幫助現有員工轉型為網路安全角色。此外，自動化與AI正在接管重複性任務，使人類分析師能專注於策略決策。

組織能做什麼

• 投資於培訓與指導計劃以發展內部人才。
• 與大學和程式設計訓練營合作建立熟練工作者管道。
• 採納多元化舉措吸引來自弱勢群體的候選人。

縮小網路安全人才差距不僅是行業挑戰，更是社會的當務之急。

這些預測對2025年的意義

2025年即將面臨的網路安全挑戰令人畏懼，但並非無法克服。組織可通過結合技術解決方案與人類專業知識的多層次方法，加強對創新網路威脅的防禦。

AI驅動的防禦工具提供即時網路監視，而OT與IT系統的嚴格分割保護關鍵基礎設施。零信任安全原則與徹底的供應商審計有助於減輕供應鏈漏洞。通過投資於網路安全培訓計劃解決人才短缺，組織可利用人類智慧主動應對漏洞。