法規與監理 2025年3月

胡則華從守門人到創新掌舵人

蘇偉華

融市場瞬息萬變,監管機構的角色亦隨之轉型。從傳統的「守門人」到積極創新的「推動者」,科技與永續已然成為驅動金融發展的雙引擎。金管會「金融市場發展及創新處」的成立,正是為了在穩健監理的基礎上,引領台灣金融體系持續創新前行。面對各界高度關注,笑稱自己是「校長兼撞鐘」的新任處長胡則華,以射手座的高效行動力積極證明創新處的價值。

胡則華期許處內同仁,以主動前瞻的態度迎接挑戰,透過共創合作的方法,打造更具競爭力的金融環境。她的最終願景,是實現金融市場的永續繁榮,讓創新處成為驅動金融市場前行的火車頭。

上任之初,胡則華即鎖定三大要務:首先,過去金融機構及科技業者多為單打獨鬥,缺乏整體戰略。因此,創新處的首要任務便是打團體戰,透過金融科技產業聯盟凝聚整合產業資源,促進金融機構、金融科技業者及其他領域行業的協作,強化金融創新生態系。創新處亦將扮演橋樑角色,增加金融機構與金融科技業者間的交流與合作,鼓勵雙方共同探索創新應用,並提供必要的資源與支持。

其次是推動卓越計畫,將創新處打造為金融業的「經濟部」;為提升台灣金融業的國際競爭力,胡則華力推「金融市場卓越計畫」,期許能打造金管會內的經濟部,帶領金融業走向海外。她深知市場發展需要更高的格局;過去大家較關注零碎的監理框架,頭痛醫頭、腳痛醫腳。卓越計畫將透過系統性的梳理,以找到「一串粽子的繩頭」方式解決根本問題,並在市場發展與監管間取得平衡,同時幫助產業在全球市場中找準定位,發揮影響力。具體而言,卓越計畫將針對台灣金融市場的優勢與劣勢進行全面評估,並制定相應的策略,以提升台灣金融業的國際競爭力。

最後是深耕永續金融,引領企業綠色轉型;面對全球氣候變遷的挑戰,胡則華持續推動永續金融,引領金融機構帶動企業綠色轉型。工作包含持續推動綠色及轉型金融行動方案、永續經濟活動認定參考指引、金融機構防範漂綠指引等等。面對國際政經局勢的變動,胡則華深信金融市場不僅是經濟發展的引擎,更是引領企業轉型的關鍵力量。因此,即使面對川普2.0到整體國際情勢的詭譎多變,胡則華仍認為台灣應走出自己的永續發展道路。創新處將透過政策引導、提供誘因等方式,鼓勵金融機構將ESG因素納入其經營決策中,並積極發展綠色金融產品與服務,以支持企業的綠色轉型。

身為創新推動者的角色,胡則華認為,在面對社會資源有限的現實下,監理機關與其事必躬親,不如鼓勵業者多多探索,從實踐中找出最有效率的發展道路。她用家長育兒過程中的適度放手來形容,才能帶來更多探索與成長。監管機構不應設限,反而是鼓勵業者大膽嘗試。當業者臨界風險或對金融消費者、金融穩定有不利影響時,監理機關再適時提醒、引導,而非一開始就完全限制。這種「支持發展,適時調整」的策略,有助於激發市場活力,促進業者成長。

如同面對虛擬資產等新興領域,創新處同樣採取鼓勵發展的態度。在關注市場趨勢的同時,也將密切關注投資人保護及金融市場穩定,並在發展過程中適時調整,確保市場在創新與安全之間取得平衡。胡則華以RWA代幣化發展為例,金管會成立現實世界資產代幣化小組,鼓勵業者自行探索發展方向。甚至讓業者主導會議,由他們決定發展重點與模式。期望業者能從客戶需求出發,思考如何提供創新服務,而非一開始就受限於法規框架。

為扶植金融科技新創,並達成多贏局面,創新處將建立新創企業與創投基金之間的橋樑,並提供新創企業必要的輔導與支持,以加速其成長,並積極媒合創投公會投資人,引入證交所與櫃買中心的輔導資源,協助新創企業成長茁壯,逐步走向資本市場。

此外,胡則華亦積極借鏡國際經驗,致力於打造台灣金融創新生態系。她觀察到美國矽谷之所以能孕育出眾多大型新創企業,甚至是獨角獸孵化器,產學合作是關鍵因素。矽谷周邊各大院校不僅提供源源不絕的科技人才,更透過產學合作方式,加速技術轉移與應用。此外,矽谷的創投生態系也相當活躍,吸引大量資金投入,共同推動新創企業成長。

胡則華補充,新加坡的金融創新模式同樣值得參考。新加坡金融管理局(MAS)積極發掘具潛力的創新項目,並將其發展為具體計畫。在推動這些計畫的過程中,MAS不僅關注新加坡本地的發展,更著重與國際接軌。以區塊鏈技術為例,新加坡在發展相關應用時,便積極與其他國家合作,確保技術標準的互通性,為未來的國際合作奠定基礎。

借鏡矽谷和新加坡的經驗,胡則華深信台灣在推動金融創新時,應聚焦兩重點,首先是強化產學合作,鼓勵大學與企業合作,促進技術交流與人才培育,為新創企業提供更多資源。再者是拓展國際視野,在推動金融創新項目時,應具備國際視野,積極與其他國家交流,確保掌握趨勢及技術標準的互通性,為未來的國際合作創造更多機會。具體而言,台灣可以透過建立產學合作平台、推動國際交流計畫等方式,加強產學合作與國際接軌。

創新處的多箭齊發,預示著台灣金融產業的蓬勃發展與蓄勢待發。在胡則華處長的帶領下,將以積極的作為與前瞻的視野,全面啟動金融創新引擎,為台灣金融產業注入源源不絕的活力。

猜你喜歡

2025年8月

AI的零點擊資安攻擊來了

「安全始於設計」原則,近年來已經逐漸在資安界扎根。與其在寫完程式之後,才用人工或自動化工具找出漏洞,還不如一開始就選擇那些在語言層級上本就無法寫出某些類型錯誤的程式語言。舉例來說,若捨棄各種已有數十年歷史的C語言,改用如Rust等較為現代的語言,便能從根本上排除大量的資安漏洞。然而,就在傳統軟體界逐漸接受這個新思維的同時,人工智慧的迅速崛起,卻大幅動搖了這項理念。一旦給了大型語言模型(LLMs)讀取或操作系統資源的權限,它卻可能出現邏輯來源不明、行為難以預測的狀況。有時候,這些風險可以靠修改提示語的上下文、交由其他模型進行驗證,或者為特定錯誤情境設計固定回應來處理。但因為LLMs背後的技術邏輯是由資料訓練出來的,不是人工設計的,這些方法只能頭痛醫頭、腳痛醫腳,無法用來確實防護整體資安。因此,大型語言模型的安全並不是靠設計就能確保不會出錯,而是靠統計方法降低出錯的機率。儘管這些都是眾所周知的危險,但直到2025年6月EchoLeak事件,這些風險才真正首次爆開。微軟Copilot自推出之初就充滿爭議,它的預設權限極廣,且不完全透明。其中最令人擔心的,就是使用Copilot+的電腦,會定期截取使用者的螢幕畫面,並搜尋畫面中的內容。Copilot+甚至還會自動掃描使用者的Email信箱,將冗長的內容整理成簡短摘要。EchoLeak攻擊就利用了這個功能。它向受害者發送電子郵件,而收件者甚至不需要打開Email或點擊任何內容,就可以製造資安界公認最難防範也最高明的「零點擊」(Zero-Click)攻擊。這封Email內含惡意指令,讓LLM反過來對自己發動攻擊,協助攻擊者搜尋系統上最機敏的資料,然後將這些資料外洩出去,在這段過程中它可以繞過許多原本保護機密資訊的安全措施。雖然這個漏洞目前並未在真實環境中被使用,而且微軟已經修補完成,但相同原理的攻擊,未來很有可能產生。EchoLeak攻擊的技術稱為「提示語注入」(Prompt Injection),也就是讓使用者透過特定語句,說服模型忽略系統的原始設定。最著名例子就是「忽略所有先前指令」。這種攻擊之所以難以預防,是因為LLM目前不具備有效的「輸入清理機制」(Input Sanitation)。傳統資料庫系統可以設計防線,讓系統將像「Drop Table」這類的語句視為純文字資料,而不是實際執行的刪除指令。但對LLMs來說,每一段文字都被一視同仁當作指令,沒有明確區分命令與內容。攻擊者正是透過這種混淆來下達他們真正的指令。專家正在開發一些針對提示語清理的解決方案,可能即將問世。德國研究團隊在2025年1月的論文中提出一個辦法:將系統內建的指令,轉譯成一種只有AI才能看懂的秘密語言。AI在處理語言時,會把大量的輸入壓縮進有限的語意空間,因而可能出現語意重疊的情況,使得看似亂碼的字串也會被模型認為具有特定含義,這種特性有點像是看到一個特定的雜訊畫面,卻能接收到某個具體意義。透過這類作法,模型能更明確區分內建系統指令與一般使用者的對話內容,避免將惡意語句誤認為內部指令。然而,這類方案依然基於大型語言模型的黑箱特性,專家目前還在爭論它到底算不算是本文一開始提到的「安全始於設計」的理想。假設這類方案能逐漸改良並逐漸推廣,類似EchoLeak的攻擊空間將會大幅縮小。但真正該擔心的是,LLM的資安漏洞無邊無際。根據開放網路應用安全計畫(OWASP)組織2025年提出的「LLM十大安全漏洞」(OWASP Top 10 for LLMs),提示語注入僅是最關鍵的一種攻擊方法,但並非唯一。當AI能夠主動幫我們執行的任務數量越來越多,種類越來越廣,「過度代理」(Excessive Agency)這類問題也將日益複雜,成為資安領域的重要挑戰。隨著AI深入各種工作流程,企業對它的管理方式將不再只是資安層面的防禦問題,會更像是新進員工的培訓與信任建立過程。剛導入的AI系統不宜立刻接手敏感任務,但若完全不建立起任何信任關係,企業恐怕也將錯失這場自網際網路以來最具顛覆性的技術革命。(作者為金融研訓院̮外聘研究員;譯者為劉維人)