當 AI 與 agentic AI（AI 代理）快速進入企業環境，資安的邏輯也正在改變。過去「買工具、跑流程」的思維，已不足以應對今日規模化、快速變動的威脅環境。AWS 資安長 Amy Herzog 近期在 re:Invent 2025 分享了對企業資安準備的核心觀點，值得所有資安主管與雲端架構負責人深思。
企業資安需重新設計代理架構
AI 已是企業日常的一部分，但它同時也成為攻擊者的利器。Herzog 直言，有威脅行為的有心人士心中有明確目標，他們會利用任何可行的路徑來達成。這意味著，防禦方與攻擊方都在運用 AI 強化自身能力。資安已不再單純是技術問題，而是一場持續演進的對抗。
許多人對 AI 代理的想像是「讓它像人類一樣工作」，也就是接手一整個任務流程，從頭做到尾。但 Herzog 指出，AWS 內部過去一年的實驗發現，這並非最有效的應用方式。
她解釋，讓代理「模仿人類的工作方式」效果有限，更好的做法是讓每個代理只專注做好一件具體的事，例如分析日誌、偵測異常、或產生修補建議，然後將這些專精的 AI 代理整合進一個更大的框架中，各司其職地協助人類完成複雜任務。
也就是說， AI 代理的價值不在於「取代人」，而在於「嵌入系統、分擔負荷」。
Herzog 也強調，這樣的設計必須扎根於真實的使用情境。她說：「如果我們的產品團隊沒有扎根於客戶體驗，而我沒有扎根於 AWS 內部開發者的實際經驗，我就無法做好我的工作。」也就是，資安團隊在導入 AI 代理時，不能只憑想像或理論，而是要基於第一線的實際需求來設計，才能讓代理真正發揮作用。
AI 時代的資安挑戰，核心在於規模與反應速度。過去的資安框架或許仍然適用，但如何在 AI 代理大量部署的情境下擴展這些框架，才是真正的考驗。
AWS 對企業導入資安 AI 的現實建議
面對 AI 熱潮，Herzog 的態度務實。她透露，近期的工作之一是幫客戶稍微降溫 AI 的使用。她的建議是：不要為了導入 AI 而導入，而是思考這項技術能否帶來真正的價值。
過去，傳統資安團隊容易陷入「我解決了多少問題」的思維，但 Herzog 建議企業轉向更核心的指標：多快修復資安漏洞？
她鼓勵客戶不要只停留在既有流程，而是聚焦於想消除的風險，盡可能量化它，這樣當事件只要出現微小變動時，就能察覺並調整。換句話說，資安的關鍵能力正從「做了什麼」轉向「多久發現、多久處理」。
談到 AWS 新推出的資安 AI 代理，Herzog 表示最令她興奮的功能是「在問題進入客戶視線之前就攔截並預防」。她說即時回應當下很重要，但如果一開始就做對，你後續需要解決的事情就會少很多。
AWS 也在內部運用 AI 與自動化推理技術，協助分析大量資安訊號，讓團隊專注於真正的威脅，而非淹沒在雜訊中。例如 Amazon Inspector 的程式碼掃描功能，不僅能找出漏洞，還能自動產生修補建議供團隊審核。
資安沒有百分之百的安全，只有最佳平衡
而在被問及是否存在「百分之百的安全」時，Herzog 回答：「我可以幫你打造一個完美安全的電腦系統，但你不會喜歡它的功能。」她進一步解釋，這不是二選一的問題，也不該是我們的目標。我們應該思考的是，在功能與控制之間，什麼是達成目標的最佳平衡？作為資安專業人員，我們要更務實地在安全的前提下交付價值。
AWS 也建議企業善用雲原生資安工具，例如 AWS Organizations 管理帳戶、AWS Control Tower 建立安全護欄等。這些工具的共同特色是隨需擴展、API 驅動、協助企業在共享責任模型下履行自身義務。
關鍵在「能不能更早發現、更快處理」
從 Herzog 的觀點可以看出，AI 時代的資安思維正在經歷轉變：AI 代理的真正價值，不在於展示技術有多先進，而在於它能否實際減輕資安團隊的負擔、在威脅發生之前就攔截風險。同樣，衡量企業資安能力的標準也在改變，過去我們問的是「做了哪些防護措施」，現在更關鍵的問題是「多快發現問題、多快處理完畢」。
速度與可見性，正在取代清單與流程，成為新的核心指標。
而面對一個持續變動、難以預測的威脅環境，Herzog 給出的建議並非追求完美的解決方案，而是培養持續調整的能力。
沒有百分之百的安全，但有保持警覺、務實應對、快速適應的可能。正如她所言：「資安事件永遠在改變，我們的目標是，當它們改變時，我們是否有新的工具能夠發現。」
【推薦閱讀】
◆ 機器身份數量是人類的 82 倍！傳統 IAM 瀕臨崩潰，如何防堵「AI 代理」成最大破口？
◆ 開發速度快 660% 的代價：45% AI 代碼有毒，企業如何建立不被拖垮的資安法則？
◆ 四分之三企業資安演練一上場就崩潰，該如何修補「現實落差」？
＊本文開放合作夥伴轉載，參考資料：《Techradar》、《Help net security》，圖片來源：Unsplash
（責任編輯：鄒家彥）
