一站式全球團隊支薪及人力資源管理平台 Deel 發布委託 IDC 進行的研究報告,分析 AI 如何改變招聘模式、重塑工作崗位及為人才管理帶來新挑戰,揭示勞動市場正經歷急速轉變,其中 73% 香港企業預計在三年來減少初級職位招聘,85% 企業更指 AI 已導致工作職能發生變化甚至消失。在 AI 影響下,技能落差正逐漸擴大,而三分之二(67%)香港企業已投資人工智能培訓計劃,助員工提升技能,為團隊未來作好準備。

    《 AI 重塑未來工作:香港及全球勞動力轉型調查報告》結合來自 22 個市場、5,500 名商界領袖的調查結果,反映企業可如何平衡運用自動化技術與支援人才發展,面對職場變革浪潮。 Deel 全球政策主管 Nick Catino 表示:「人工智能不再只是新興技術,它早已成為工作不可或缺的一部份,全面重塑我們的工作模式和企業的運作方式。初級職位正在改變,企業需要的技能亦然,因此,員工與企業都必須迅速適應,保持競爭力外,更是關乎維持職場生存的能力。」 香港企業應如何應對轉型 近乎所有受訪香港企業(99%)均表示已採用人工智能,68% 更已超越試驗階段,正式全面整合人工智能至工作流程當中,比例高於亞太地區平均的 65%。然而,隨著人工智能接管重複性及知識型工作,香港企業在人才培育與職場領袖階層建設方面,正面臨日益嚴峻的挑戰:
    • 74% 表示由於初級職位的學習途徑減少,企業招聘和培訓未來領袖愈見困難
    • 70% 表示初級員工的在職發展機會正在減少
    • 73% 預期未來三年內將進一步削減初級職位招聘
    • 全球而言,媒體、零售、醫療保健、專業服務及物流行業初級職位招聘的減幅最為顯著。
    為保持領先地位,香港頂尖企業正在重新設計崗位、為團隊提供再培訓,並建立持續學習文化,以在提升生產力與人才發展之間取得平衡。 勞動力重組與職位重新設計 人工智能對香港勞動力市場的影響正推動前所未有的職能改革。研究顯示,85% 港企經歷職位變動或調整,其中 48% 企業為整合人工智能,實施了重大或全面的勞動力重組 —— 比例高踞所有受訪市場之首,超越美國、以色列、南韓及印度等全球主要市場。隨著自動化技術接管例行常規工作, 香港企業將人力的角色轉向策略監督、人工智能系統管理及創意解難,顯示工作模式正在經歷全面重塑。
    • 20% 企業已全面重整組織架構,以整合人工智能至工作流程,比例僅次於新加坡(24%)
    • 28% 企業正於各部門進行重大的職位重新設計
    • 15% 企業表示職位角色未見重大變動
    全球而言,新西蘭(53%)、阿根廷(53%)和美國(50%)的職位替代現象(即職位因人工智能被完全取締)為全球最高。 相比之下,僅 11% 的中國內地企業經歷職位替代,為所有受訪市場中比例最低
    • 中國內地在因整合人工智能而重新設計職位角色方面佔比最大(79%),顯示他們正有效地對相對年輕的勞動力進行再培訓,以把握人工智能革命的機遇。
    企業設跨部門團隊協助應對 研究亦顯示,香港企業正積極推動團隊再培訓。三分之二(67%)香港企業正投資於人工智能培訓計劃,在亞洲排名第三,僅次於新加坡(74%)與日本(68%),並與全球平均水平看齊。然而,在執行上,企業仍面對各種挑戰:
    • 58% 企業指員工參與培訓的意願不高
    • 50% 表示有預算限制
    • 41% 指難以尋找資深培訓專家
    儘管近三分之一(30%)受訪企業坦言不清楚由誰主導技能再培訓工作,但 9% 香港企業已成立跨部門團隊,負責人工智能技能再培訓工作,比例為全球之冠。此舉至關重要,因為能建立跨部門團隊來設計並實施人工智能培訓的企業,往往能更快實現培訓帶來的價值,加速業務發展。 傳統大學學位價值下降   新技能重要性躍升 隨著傳統大學學位的重要性逐漸減弱,香港企業正優先考量未來員工的實踐與應用技能。目前僅 5% 的香港企業仍然認為大學學位是初級職位入職的必要條件,比例雖然與全球平均水平持平,但仍高於日本(1%)和新加坡(2%)。 現時,香港企業對初階人才的三大核心要求為:
    • 人工智能工具或編程訓練的相關技術認證 (62%)
    • 解難與批判性思考能力(57%)
    • 過往工作實踐案例(56%)
    企業期望新進員工從入職之際即精通人工智能與各式科技工具,同時展現批判性思考與溝通能力,證明招聘標準由學術資歷到實戰能力的重大轉變,僱主更重視是技術熟練度以外的靈活應變力、持續學習能力與人類獨有的創造力。 成功應用人工智能的障礙 —— 技術整合、人才培訓與團隊信任 雖然香港在人工智能應用方面處於領先地位,企業實際運用該技術時仍面臨重大挑戰:
    • 55% 企業將「難以將人工智能整合至現有系統」列為首要挑戰,比例居亞洲市場之冠,且高於全球平均值 48%
    • 43% 企業缺乏內部人工智能專業知識或技能,比例在亞洲僅次於新加坡(67%)
    • 42% 企業面臨人工智能計劃預算或投資不足的問題
    香港同時是全球人工智能人才短缺問題最嚴峻的市場之一,74% 的企業將人才匱乏列為吸引人工智能專才的主要障礙。其他人才方面的挑戰包括:
    • 70% 企業表示業界對人工智能職位的認知不足
    • 59% 認為人工智能職位的職業發展路徑不明確
    • 44% 難以應付高昂的薪酬期望
    為爭取稀缺人才,香港僱主正提供優厚薪酬與獨特誘因:
    • 63% 願意為人工智能專才提供較同級技術職位高出 0-25% 的薪酬
    • 23% 願意提供高出 25-50% 的薪酬
    • 14% 願意支付高於市場行情 50% 或以上的薪酬
    在高薪以外,香港企業更亦利用更具吸引力的條件招攬頂尖人工智能專才,例如提供先進工具(50%)及明確職業發展路徑(42%)。獲取先進技術與接觸創新項目是人工智能專才保持相關性與動力的關鍵,能夠激發創新,並增強僱主在競爭激烈的人才市場中更具吸引力。 技術應用與管治法規的差距 研究同時顯示,香港企業對人工智能規管的認識方面有明顯差距,僅 16% 受訪企業表示對本地人工智能法規相當熟悉。其他挑戰包括:
    • 50% 認為香港人工智能相關法規不清晰,比例遠高於新加坡(32%)
    • 26% 認為香港政府需加強支持企業採用及擴展人工智能的應用
    • 68% 認為香港政府可透過教育、培訓及公私營合作,在培育人工智能人才方面擔當更大角色
    IDC 亞太區人工智能副總裁 Chris Marshall 博士表示:「人工智能正以前所未見的速度重塑全球勞動力結構,所引領的變革速度遠超任何近期技術革新。未來能夠脫穎而出的企業,將會是那些把自動化與以人為本的願景結合的企業 —— 投資於技能提升、重新定義初級職位機會,並確保治理與道德規範與創新共同進步。 」 如想了解完整研究報告,請瀏覽 https://www.deel.com/resources/ai-policy-report/ 下載。

    人工智能(AI)不僅徹底改變了創新的方式,亦使黑客的攻擊手法變得更複雜和難以預測。

    參加由 Check Point CEO Nadav Zafrir 帶領的專題活動,了解結合 Lakera 技術的 Hybrid Mesh Network Architecture 及 AI 安全架構,如何應對當前的主要網絡安全挑戰。

    活動將介紹混合網絡安全如何協助企業:

    • 安全採用 AI 工具,保障大型語言模型(LLM)開發,建立全面 AI 安全堆疊
    • 鞏固本地、雲端及邊緣環境之間的連接安全
    • 採取主動預防策略,加強網絡防護
    • 打破資訊孤島,運用開放平台打造理想安全架構

    近年生成式人工智能(Generative AI)發展蓬勃,已成為企業營運不可或缺的工具。在這股浪潮中,應用程式介面(API)扮演著不可或缺的橋樑角色,它負責連接各種應用、雲端服務以至大型語言模型(LLM)。正因為企業最有價值的數據和資產都可透過 API 存取,使其成為網絡攻擊的重點目標。全球網絡安全領域的領先企業 Thales 之旗下 Imperva 指出,針對 API 的攻擊在過去四、五年呈直線上升趨勢,而要攔截這種被黑客視為高回報率的攻擊手法,僅依靠傳統方法已難以應付。

    API攻擊直線上升 BOLA漏洞成頭號威脅

    Thales API 安全產品副總裁 Lebin Cheng 指出,API 安全漏洞並非新鮮事,但其嚴重性隨著應用模式的改變而急劇升溫。「以往很多應用程式和 API 只在企業內部網絡使用,環境相對受信任,但當企業將應用遷移上雲,或因業務需要將內部 API 開放給外部合作夥伴甚至公眾使用時,潛在的漏洞便會浮現。」他補充說,近年生成式 AI 的興起更是火上加油,因為絕大多數 AI 服務都是透過 API 來調用 LLM 模型,每一次調用都可能成為潛在的攻擊路徑。

    Lebin 說傳統的防禦方式是封鎖攻擊者的 IP 地址,但在雲端時代,這就像治療癌症時使用化療一樣,好壞細胞通殺,而 Thales 採用的是更精準的「標靶治療」,只攔截個別惡意攻擊。

    在眾多 API 威脅中,OWASP(開放式 Web 應用程式安全專案)將「BOLA」(Broken Object Level Authorization,失效的物件級別授權)列為 API 安全十大威脅之首。Lebin 解釋,BOLA 漏洞的原理在於應用程式雖然驗證了用戶的登入身份,卻沒有在後續操作中持續驗證其權限,因此攻擊者只需以合法用戶身份登入,然後在 API 請求中竄改物件 ID,便能輕易繞過存取控制,竊取、修改甚至刪除其他用戶的敏感資料。

    AI成業務關鍵 API安全由「選項」變「必修」

    Richard 說過去面對舊有系統的 API 安全問題,管理層或會選擇容忍風險,甚至索性關閉服務了事,但現在為了部署 AI 應用,API 安全便變成不可忽視的問題。

    儘管 API 安全風險日益增高,但在企業內部推動安全改革卻非一帆風順。Thales 應用與數據安全業務技術總監 Richard Chiu 觀察到,本地企業的資訊安全長(CISO)普遍意識到 API 安全的嚴重性,然而在實際推動改革時卻往往面臨組織架構的挑戰。Richard 認為生成式 AI 的崛起正徹底改變這個局面,「現在 AI 應用已成為業務增長的關鍵,這些服務必須連接互聯網才能發揮價值,這盤生意是『非做不可』的。」這種業務上的必然性,使得管理層無法再對 API 安全掉以輕心,他預期市場對 API 安全的重視程度在來年將會提升至一個新層次。

    傳統防禦失效 黑客藉AI發動精準打擊

    傳統的網絡安全防禦法是因應漏洞或威脅編寫特徵碼(Signature),進行針對性堵塞及攔截,但 Lebin 強調:「既然現在的應用程式設計五花八門,漏洞模式千變萬化,我們就應該將焦點從『攻擊特徵』轉移到『用戶行為』上。」其概念是先觀察並學習一個用戶正常的 API 調用行為模式,為其建立獨特的「行為寫照」,例如網上銀行的普通用戶正常只會查詢自己名下的一、兩張信用卡,一旦系統偵測到該用戶突然開始查詢數個不同的信用卡號碼,即使每次都是一個合法的 API 請求,這種偏離正常行為的舉動也會被立即標記為高度可疑,並觸發應對措施。

    為將此新理念落地,Imperva 提出了「治未病」的三步曲實踐方案。第一步是「探索」(Discover),不僅是清點企業擁有多少個 API,更要深入分析每個 API 正在傳輸什麼類型的數據;第二步是「評估」(Assess),在掌握 API 資產全貌後,對其進行風險評估,找出最脆弱、最重要的環節,以便聚焦防禦資源。第三步,也是整個防禦體系核心的「實時偵測與回應」(Detect and Respond)。系統會對所有 API 流量進行 24x7 的實時監控,並利用前述的行為分析引擎,精準捕捉異常行為。

    Lebin 特別強調其在「回應」機制上的創新:「傳統的應對方式是封鎖攻擊者的 IP 地址,但在雲端時代,這就像治療癌症時使用化療,好壞細胞通殺。」Thales 採用的則是更精準的「標靶治療」,「我們的系統會追蹤到每一個獨立的用戶會話。一旦發現某個會話出現惡意行為,我們會立即終止這一個會話,而不會影響其他正常 API 調用。」這種外科手術式的精準打擊,確保了在消除威脅的同時,對業務的影響降至最低。

    Lebin 最後總結,API 安全已非單一產品可以解決的問題,它需要與 Bot 防護、應用安全等傳統領域相結合,形成一個聯防體系。在 API 無處不在的今天,企業不能再抱持「亡羊補牢」的心態,唯有採取「治未病」的策略,才能在享受 API 帶來便利的同時,真正做到防患於未然。

    如果想了解更多應用安全方案,可致電 2156 3929 或電郵至 [email protected]

    日防夜防,家賊難防!即使是全球知名的網絡安全公司都難以完全避免內部威脅。美國網絡安全公司 CrowdStrike 近日披露了一宗內部人員洩密事件,內奸將公司的機密資料以拍攝螢幕的方法傳送給黑客組織。幸而事件未直接導致系統被入侵及洩露客戶的數據,但亦突顯出網絡安全不單要對外,亦要加強內部把關的重要性,是企業管理層不可忽視的安全問題。

    立即終止該員工職務

    根據 CrowdStrike 發言人的說法,公司早前發現有員工將電腦屏幕的內容拍下並外傳,已立即終止該員工的職務。這些圖片隨後被黑客組織發佈至 Telegram,儘管 CrowdStrike 強調其系統未因該事件遭到破壞,且客戶數據始終受到保護,但事件依然引發外界對內部安全的關注。

    這次內部洩密案的幕後黑手,是近期頻頻登上網絡安全新聞的黑客組織 Scattered Lapsus$ Hunters,這個組織由 ShinyHunters、Scattered Spider、Lapsus$ 組合而成。他們曾針對 Salesforce 客戶發動語音釣魚攻擊,入侵了包括 Google、Cisco、Allianz Life 等在內的多家知名企業,並透過勒索或出售數據牟取暴利。近期又創立一個 ransomware-as-a-service 平台 ShinySp1d3r,特色是會使用過往不同黑客組織曾使用的加密工具,收取服務費用。

    最終只成功獲 SSO 認證

    據報道,Scattered Lapsus$ Hunters 與這名內奸達成交易,承諾支付 25,000 美元以換取 CrowdStrike 內部系統的訪問權限,以及 CrowdStrike 針對 ShinyHunters 和 Scattered Spider 的內部調查報告。不過黑客組織就承認最終他們只成功獲得 SSO 認證,而內部報告則未能到手,因為內奸在交易進行中已被 CrowdStrike 發現並移交相關執法機構處理,同時迅速切斷網絡訪問權限,因而計劃無法完全實現。

    在 CrowdStrike 事件中,再次證明防範內奸的重要性,專家認為需從以下幾個方向著手,首先是加強內部監控與審查,公司需定期審查內部人員的活動,確保內部資料的訪問權限根據員工的職責進行分級,限制不必要的訪問,特別是對敏感數據的訪問記錄進行嚴格監控,及早識別異常行為,專家建議採用基於行為分析的安全工具,便可第一時間察覺異常狀況。

    此外,企業需實施多重身份驗證(MFA),為所有系統登錄提供額外的安全保障,降低內部人員洩露憑證所帶來的風險。最後是要定期進行安全審計與行為分析,以便及時應對各種潛在的新威脅。

    資料來源:https://www.bleepingcomputer.com/news/security/crowdstrike-catches-insider-feeding-information-to-hackers/