Bitdefender 2025 網絡安全評估報告：AI 威脅虛實、LOTL 攻擊成主流、仲有「唔准講」嘅沉默危機

AI 攻擊：驚就真係驚，但實際情況又未至於咁誇

報告一個好重要嘅主題，就係「感知」同「現實」之間嘅落差。67% 受訪者覺得 AI 驅動嘅攻擊增加咗，而 58% 最擔心嘅就係 AI 病毒。 不過報告指出，實際上用到 AI 嘅攻擊並冇大家想像中咁普遍。 但同時，63% 嘅機構話自己喺過去 12 個月內曾經歷過涉及 AI 嘅攻擊。

黑客用生成式 AI 工具嚟幫低技術嘅攻擊者「升呢」，壓縮咗攻擊嘅生命周期。 當被問到 GenAI 係咪威脅時，96% 受訪者認同係威脅，當中有超過三分之一（36%）話 GenAI 被人用嚟做壞事嘅情況正喺度加速。

保安團隊嘅首要任務：減低攻擊面

今年報告首次將攻擊面減低（Attack Surface Reduction）列為保安團隊嘅首要任務。68% 嘅保安領袖同意，減少攻擊面（即係停用唔需要嘅工具同應用程式）係好關鍵嘅。 美國（75%）同新加坡（71%）喺呢方面嘅取態最進取。

點解咁重視？因為 84% 嘅高嚴重性網絡攻擊已經用 LOTL（Living Off the Land）技術—即係濫用環境入面本身有嘅合法工具，例如 PowerShell、WMI 同 PsExec，呢啲工具係防守方信任嘅，所以好難被偵測。 可謂「用登入代替入侵」，用偷返嚟嘅憑證同系統工具就可以繞過晒所有防線。

管治斷層：管理層同前線「兩個世界」

報告揭示咗一個幾嚴重嘅管治問題：高層同落手落腳做嘅團隊之間認知完全唔同步。

• 信心差距： 45% 嘅 C 級高層話「好有信心」公司管理到網絡風險，但中層管理人員得 19% 有同樣信心。
• 優先次序錯配： 高層（41%）最重視係引入 AI 工具，但中層管理人員（35%）就最關注雲端安全同身份管理。

呢個斷層會導致資源投錯地方，阻礙咗處理實際安全風險嘅進度。 報告暗示，高層離前線太遠，睇唔到真實嘅威脅狀況，而前線團隊就要承受呢個落差帶嚟嘅後果。

沉默危機：唔准講出去

報告最令人震驚嘅發現，就係關於隱瞞事故嘅壓力：

• 58% 嘅保安專家話，公司叫佢哋將資料外洩保密，就算佢哋覺得應該要上報。
• 呢個數字比起 Bitdefender 2023 年嘅調查 大幅增加咗 38%。
• CISO 同 CIO（資訊安全總監同資訊總監）比前線員工更易感受到呢種壓力。

各地嘅情況好唔同：新加坡最高，達到 75.7%，跟住係美國 73.8%、英國 58.1%、意大利 52.8%、德國 48.4%，而法國最低，得 35.4%。

報告警告，呢種隱瞞文化會影響到法規合規性、持份者嘅信任，同埋長遠嘅抵禦能力。

數據主權嘅疑慮

公開嘅報告同網誌冇提到一個獨立嘅「數據主權」章節。不過，報告有按國家細分數據，而喺講到 58% 隱瞞事故嗰部分，就有討論跨境監管壓力同合規問題。 LinkedIn 上面嘅報告摘要直接提到「就算應該要上報都被人叫收聲」，暗示咗背後涉及監管同數據主權嘅張力。 唔同國家喺隱瞞壓力上嘅巨大差異（由法國 35.4% 到新加坡 75.7%），好可能反映咗各國唔同嘅法規環境同數據主權期望。

實際營運嘅事故趨勢

除咗 LOTL 成為主流之外，報告仲講到幾個營運挑戰：

• 攻擊面強化嘅主要困難（受訪者可選最多三項）：

  • 平衡安全同可用性（37%）
  • 舊系統同新系統嘅整合（35%）
  • 威脅環境變化得太快（34%）
  • 第三方軟件供應鏈攻擊（32%）
  • 要及時修補漏洞（30%）
  • 權限過大嘅用戶（24%）
  • 好難阻止有人濫用合法工具（23%）

• 工具太多太複雜 已經成為保安團隊嘅重大負擔。報告強調，減少冇用到嘅管理員帳戶、冇人用嘅應用程式同過大嘅權限，係新嘅防守前線。 報告認為，減低攻擊面唔單止係一種保安策略，而係必要嘅策略轉型，先至可以應付越來越複雜嘅 LOTL 攻擊。

總結

Bitdefender 呢份 2025 報告描繪咗一個轉型中嘅網絡安全行業。重點如下：

1. 隱蔽式 LOTL 攻擊已經成為主流，令傳統依賴偵測嘅防護策略失效。
2. 68% 嘅保安團隊將攻擊面減低列為首要任務。
3. 大家對 AI 嘅憂慮係高，但實際情況未至於咁嚴重，存在感知落差。
4. 高層同前線之間存在嚴重嘅管治斷層。
5. 超過一半保安團隊曾被施壓要求隱瞞事故——呢個趨勢自 2023 年以來大幅惡化，引發重大嘅法規同信任危機。

報告冇獨立嘅「數據主權」章節，但喺隱瞞事故嘅數據入面，唔同國家之間嘅監管壓力差異已經講明一切。