近期有關Anthropic旗下Claude Mythos Preview AI模型的媒體報導，引發了外界對資安保險市場潛在影響的廣泛關切。WTW透過本專題提醒彙整並回應近期接獲之客戶常見詢問，並提出組織當前應優先評估之行動建議。
重點摘要
- Claude Mythos可能顯著提高整體資安風險等級，資安弱點從被識別到被利用之間的時間差將顯著縮短。
- 現行資安保險保單的設計原則上涵蓋各類資安攻擊事件，無論攻擊者是否使用AI；目前AI本身並未被排除在保障範圍之外。
- 保險業者正密切關注相關發展，惟目前尚未因Mythos調整承保條件或費率。
- 因此，基礎資安控管的重要性顯著提升，尤其是弱點管理、修補及時性、偵測與應變能力，以及經過實際演練的復原機制。
- 資安防護較薄弱的組織，在續保時可能面臨保險業者更嚴格的核保審查；尤其在AI加速攻擊手法演進的趨勢下。
Claude Mythos簡介
Anthropic近期發表了其全新的Claude Mythos Preview AI模型（以下簡稱「Mythos」），Mythos能以前所未有的速度與規模，自主發現並利用過往未被發現的資安弱點，引發資安市場與保險業界高度關注。在測試過程中，Mythos在各主流作業系統和瀏覽器中發現了數千個嚴重弱點，其中有部分弱點即使已透過多年的人工或自動化測試，仍長期未被有效辨識。
經Anthropic評估，將Mythos公開發布可能造成的風險過高，因此啟動了 「Glasswing計畫」 ：僅提供約50個受信任的合作組織提前使用Mythos進行防禦性弱點辨識與修補強化。Anthropic已承諾提供 1億美元的使用額度 以支持此計畫。
Claude Mythos所帶來的潛在衝擊與影響
近年來，資安弱點從被識別到被利用之間的時間差已大幅縮短，從2018年到2024年，平均時間已由771天大幅縮短至個位數小時。Mythos或類似的AI模型將進一步加速這個趨勢。一旦Mythos落入威脅行為者手中，可能將被利用於發掘傳統方法較難以察覺的弱點。因此，組織普遍關注Mythos可能驅動更大規模且成功率更高之攻擊活動。另一方面，Mythos同樣能協助組織偵測並修補那些原本可能長期未被偵測、直至遭利用時才暴露之弱點。
現行資安保險保單的設計原則上涵蓋各類資安事件，不論攻擊者使用何種工具。這些保單並不區分AI驅動的攻擊手法與傳統攻擊技術。因此，若攻擊事件涉及AI，保單仍可提供承保，例如：借助AI發動的勒索軟體攻擊，在理賠認定上與未涉及AI之攻擊並無差異。
與其他保險險種（例如商業一般責任險）不同，資安保險業者目前尚未引入AI除外條款。代表勞合社（Lloyd's）的勞合社市場協會（Lloyd's Market Association）已表示正在追蹤並關注此議題，惟目前尚未要求設定除外條款，整體市場也採取相同立場。若因AI導致理賠件數出現意外且大幅攀升，資安保險業者屆時可能採取相應行動。
目前市場尚無共識。部分保險業者認為Mythos將導致理賠件數增加，進而推升資安保費；另一些業者則認為Mythos並未改變資安的基本原則，只要組織持續遵循最佳實務，Mythos不會對整體資安風險版圖造成實質性影響。保險業者通常以實證數據作為決策依據，由於Mythos問世時間尚短，目前仍有太多不確定性。
保費通常隨理賠件數增加而上漲。目前要判斷Mythos是否會帶來更多理賠，進而影響保費成本，仍言之過早。就目前而言，保險業者仍採取審慎的觀望態度，尚未出現明顯的費率上調趨勢。
現階段仍言之過早。一般資安保險保單已涵蓋AI驅動資安攻擊之保障，但AI的快速發展可能會進一步放大整體風險暴露，亦可能促使保險業者更加重視風險篩選。市場最終走向將受到理賠案件頻率與嚴重程度的影響，而這些數據目前仍有待觀察。
保險業者確實可能就Mythos提出詢問。Mythos可能促使保險業者更加重視主動式資安防護，尤其是弱點修補管理。資安成熟度較低之組織將承受較高的相關衝擊。保險業者具體關注的面相可能包括：
- 弱點掃描與監控: 可能提高對「持續性弱點掃描」之要求，並降低對被動式告警機制之依賴
- 修補頻率與補償性控制措施: 清楚掌握實際修補時程與標準要求間之落差，並於延遲修補時說明對應之補償性控制措施（特別針對EOS系統）
- 偵測與應變能力: 由傳統預防導向，進一步轉向「偵測與應變速度」之能力評估
- 備份與復原程序: 強調具備經實際演練驗證之復原能力，而不僅止於書面計畫
- 供應鏈與第三方廠商資安治理: 強化對關鍵第三方依賴關係之掌握，並檢視合約中資安義務與責任配置之充分性
部分資安保單的確含有除外條款或限制保障條件，若Mythos（或類似工具）被用於發動攻擊，這些條款可能產生影響。例如：
- 已知弱點:限制或拒絕理賠因已知但未修補之安全漏洞所導致的事件
- 未能及時修補弱點: 因未在合理時限內套用安全更新（修補程式）而限制或拒絕理賠
- 勒索軟體共同保險條件: 被保險人若遭受勒索軟體攻擊，須自行承擔一定比例的損失
- 合理資安標準條件: 要求被保險人維持適當水準的資安防護，否則保險業者可能限制或拒絕理賠
- 累積條款（限制多個非關聯組織同時受影響之大型事件的保障上限）: 允許保險業者對影響多個不相關組織的資安事件設定保障上限
組織現在應採取哪些行動？
WTW建議各組織在保單續約前做好充分準備至關重要，包含：
- 針對保險業者可能重點審查的領域，評估自身的資安防護狀況，尤其應關注於弱點修補頻率與補償性控制措施
- 評估資安保險保單中，可能因弱點遭加速利用而受影響的條款與條件
- 了解資安保險包含的風險管理與事件應變服務，這些外部資源有助於提升組織的資安韌性與應變能力
- 建議組織及早聯繫保險經紀人，透過完善的風險揭露與說明機制，有效呈現資安風險控管能力並有利於核保評估結果與保險條件
WTW將持續關注市場動態，並隨情勢演進提供即時更新。如貴組織有意進一步了解相關影響或探討因應策略，歡迎隨時與我們聯繫，由WTW資安風險與保險專家團隊提供專業諮詢與支援。