對話記錄
嘉賓：Abnormal AI 資訊長 Mike Britton 與 AWS 安全部門 CISO 辦公室成員 Clarke Rodgers
透過 AI 安全實現風險降低與生產力提升
Clarke Rodgers：
我是企業策略總監 Clarke Rodgers，在此引導您和安全領導者進行一系列的對話。今日來賓是來自 Abnormal AI 的 Mike Britton。歡迎與我們一同探討安全領導力、安全職涯發展路徑，以及代理式 AI 等議題。
Mike，非常感謝您加入今天的討論。
Mike Britton：
謝謝。很高興能來這裡。
Clarke Rodgers：
請自我介紹並說明您在 Abnormal 擔任的職務。
Mike Britton：
我是 Mike Britton。現任 Abnormal 的資訊長。我已在公司任職四年，職責包括負責內部 IT 計畫、安全、客戶信任，以及老闆交辦的其他工作。
Clarke Rodgers：
您從資安長 (CISO) 轉任資訊長 (CIO)，能否分享這個轉變是如何發生的？
Mike Britton：
這很有意思。在我的職涯中，我一直願意接受新挑戰。從前在其他公司任職時，我也曾負責過 IT 工作；我加入 Abnormal 時，公司規模大約為 100 至 120 人，當時甚至沒有正式的 IT 團隊。所以我對這類工作非常得心應手。我也習慣親力親為。我本身就熱愛科技，因此職責也隨之拓展。過去四年，我隨著 Abnormal 一同成長；如我們之前聊到的，我和執行長，也就是我的老闆，討論「接下來的方向」時，意識到公司持續成長的過程中會面臨許多令人興奮的挑戰。我認為這是一個很好的機會，能拓展視野、推動公司的技術轉型，並見證企業的演進。
Clarke Rodgers：
那麼身為資訊長，您現在能確保安全成為整個 IT 部門所有人的首要任務。對嗎？
Mike Britton：
是。我常跟我的團隊說，IT 與安全之間向來存在天然的拉鋸關係，而現在我能直接告訴他們：你們都歸我管，要好好相處。
Clarke Rodgers：
就是如此。
Mike Britton：
我要求 IT 團隊必須以安全為核心，同時也要求安全團隊要將內部使用者的需求放在心上。重點從來不是「零風險」，而是「提升生產力」與「達成業務目標」，有時這意味著我們無法擁有完美的運作環境。
Clarke Rodgers：
確實如此。 除了資訊長的職務，您也負責 Abnormal 的 AI 業務規劃。能否聊聊您是如何開始負責這塊領域的？暫且這麼說。另外，您如何看待 AI 的應用，不僅是作為內部業務工具，還從攻擊者的角度出發，思考如何保護組織免受 AI 相關的威脅？
Mike Britton：
是的，這點其實很有意思，因為 Abnormal 本質上一直是一家 AI 公司。我們常笑稱自己是「在 AI 變得流行之前就做 AI 的公司」。Evan 和 Sanjay 是公司的兩位創始人，在初創立時就定名為「abnormal AI」。但據我了解，當時市場給出的反饋是：這個概念太新穎、太超前，也太令人擔心了。我們就決定：「好吧，那就改名為 Abnormal Security。」 而現在，時機與環境都成熟了，我們終於能回歸最初的定位。這就是我們為何重新命名為「Abnormal AI」的原因。
從產品層面來看，我們在 AI 領域已做出許多出色成果，且未來還有無限機會。可以看到，現在新成立的小型新創公司都在運用 AI，無論是在研發端，還是內部業務中。我們的業務必須保持敏捷性，也必須具備擴展性。我很認同一個理念：組織裡的每個人都應該透過 AI，成為「最佳版本的自己」。其中一個關鍵就是尋找新機會，思考「如何實現規模化」？ 重點不是取代工作崗位，而是「如何在未來五年內實現 10 倍業務增長，卻不需要招聘 10 倍的員工」？
Clarke Rodgers：
隨著企業內部使用者採用的 AI 工具越來越多，您如何看待這些工具的安全性？在交付給使用者之前，會設定哪些防護機制？
Mike Britton：
好的，首先也是最重要的一點，我希望業務部門能主動找我溝通。我希望他們在「構思階段」就來找我。我希望他們帶著「嘿，我們想解決這個問題」的需求來找我討論。 現在的工具太容易取得了，他們只要輸入信箱 (甚至不用綁定信用卡)，就能直接使用。因此，作為安全與 IT 部門，我不能採取「鴕鳥心態」，一味地說「全部封鎖掉，全部禁止」。
Clarke Rodgers：
沒錯。
Mike Britton：
我需要引導他們與我合作：協助他們快速嘗試、快速檢錯，找出可行與不可行的方案，同時協助他們釐清「投資報酬率」。這不僅涉及成本，還包括實施速度，以及使用該工具如何能產生實際效益。坦白說，現在的市場有點奇怪，任何工具都有數千種版本，每天還不斷有新工具問世。雖然我也很想每種工具都保留五個版本，但我們仍需「合理化工具與技術選擇」，引導大家使用合適的解決方案。
Clarke Rodgers：
您在 Abnormal 如何建立安全文化，以實現這種平衡？您既要保護組織，又要讓團隊能快速行動、進行創新。如何找到平衡點，避免安全部門被視為「只會說不的部門」，同時又能落實合理的安全規則？
Mike Britton：
是的，這確實需要平衡。我們所處的世界不是非黑即白，而是始終在灰色地帶中運作。無論是像我們這樣的科技公司，還是實體組織，任何組織要成功，都必須承擔一定的業務風險。關鍵在於如何應對與管理這些風險。我經常尋找機會證明「安全也能成為業務推動力」，例如推動無密碼認證，或在專案初期就介入，引導團隊走正確的步驟。我不希望輕易說「不」。如果我的團隊一開始就抱持「拒絕態度」，我一定會反對。我的角色更像是「顧問」。幾乎就是組織、產品與業務部門的顧問，協助他們應對挑戰、做出正確決策，並在組織可承受的風險範圍內，快速推動業務前進。
協助高階主管的方法與人才留存技巧
Clarke Rodgers：
從「安全做為業務推動力」的角度來看，您如何向上與向外彙報或證明安全計畫的運作狀況與成效，以確保業務領導層同儕了解現況，以及您如何透過安全措施協助他們推動業務？ 無論是向高階主管、董事會，或其他相關單位，您如何彙報安全計畫的運作狀況與成效？
Mike Britton：
最直觀的指標包括「我們未發生重大事故或資訊外洩事件」。還包括「平均偵測時間」的效率。以及「平均修復時間」。我也不喜歡虛假指標。我認為安全領域充斥著許多這類指標，它們無法真正反映組織的運作狀況或潛在風險，卻能讓儀表板看起來很亮眼。
Clarke Rodgers：
「釣魚郵件點擊率」就是如此。
Mike Britton：
是的，就是釣魚郵件點擊率。我的意思是，我可以根據情況調整資料，讓這個指標忽高忽低，但它根本無法反映組織的真實狀況。它無法告訴我「組織真正面臨的風險是什麼」、「威脅態勢如何」、「組織的攻擊面有多大」？ 坦白說，這要歸結為講很多故事。我一直認為，面對董事會與高階主管，關鍵在於「透過故事傳達資訊」，先給出資料點，再解釋資料背後的原因與意義。雖然我也希望他們只看試算表或 PowerPoint 就能理解，但事實上，這需要更深入的溝通。而且，身為安全與技術領導者，您必須是一個好的故事講述者。在某種程度上，我還得像個「銷售人員」，向內部利害關係人推廣安全計畫的價值。
Clarke Rodgers：
那您具體是如何做的呢？ 是從「成本與收益」的角度切入？ 還是從「風險」的角度談？ 或者，在您說故事時，管理層還希望看到詳細的安全指標？
Mike Britton：
其實以上幾點都有涉及。當然，重點是「降低風險」。指出我們攔截了哪些棘手的攻擊。既包括我們避免了哪些風險，同時也包含「生產力的提升」。具體來說，就是「我沒有把寶貴的人力浪費在那些可以自動化的任務上」。我不會因為增加額外的流程與步驟，導致員工生產力下降。也就是將「員工生產力提升、團隊效率提升、風險降低」這三者整合在一起，形成一個完善的整體方案。
Clarke Rodgers：
接著我們聊聊 IT 層面的話題，您現在是資訊長，也同時是負責安全性的資安長，處於很有利的位置，那您如何讓開發人員也認同「安全」的重要性？ 傳統上，開發人員通常是將程式碼推過各個環節，以進入生產環境，過程中可能會遇到所謂的「安全路障」。他們可能會想：「哦，又有安全問題，現在要修復了。」 您如何將他們的想法從「安全措施在阻礙我」轉變為「我還有改進空間，可以更安全地開發」？
Mike Britton：
我們本身是資安公司，理論上若每位開發人員都有資安背景或資安公司任職經驗，事情會很順利。但現實並非如此。其中一個關鍵是「協助他們理解客戶的立場與客戶的關切點」。客戶會關心自己的資料安全。客戶會關心我們如何保護基礎設施，同時要讓工程師明白：「您之所以有這份工作，是因為有客戶願意購買我們的產品」。核心在於我們必須贏得並維持客戶的信任。無論是客戶信任還是一般信任，建立與贏得信任都很困難，但失去信任卻很容易，而我們承擔不起失去信任的代價。
您越能讓他們理解「客戶看到的是這些問題」，他們就越能明白「背後的風險與影響」。這並非我憑空要求「您不能這樣做，必須那樣做」。我經常列舉客戶的真實案例，例如某位客戶曾說：「這點讓我很擔心。」 儘管我們對 AI 持開放態度且極為看好，但並非所有組織都如此。有些公司的風險偏好較保守，認為 AI 是具有威脅性的技術，我們必須理解這點並做出調整。
Clarke Rodgers：
我很認同這個做法。也就是說，您基本上是幫工程師「看得更清楚」，讓他們理解更宏觀的視角。不論是工程師團隊還是安全團隊，您如何協助他們在各自的崗位上成長？ 當然，還包括如何留住這些人才。現在的人才每兩三年跳槽一次很常見，但這些人離開時，組織會損失大量「制度性知識」，也會影響文化建設。那麼，您採取了哪些措施來為他們規劃職業發展路徑，並真正留住他們？
Mike Britton：
坦白說，我認為這一切從招聘階段就開始了。我向來願意考慮不同背景的候選人。我想要的是「有求知慾」的人。是「喜歡鑽研、動手嘗試」的人。是「渴望學習與成長」的人。回顧我職涯初期必須具備的知識，與現在相比，當時的知識幾乎都已過時。那些知識現在已毫無用處。甚至現在我掌握的知識，五年後也可能過時。
因此，企業需要的是「本身就有學習成長意願」的員工。這是一個雙向的過程。一方面，我必須提供資源與機會；但另一方面，員工也必須有意願並願意抓住這些機會。只要一開始就以「尋找能適應變化、有求知慾、渴望學習的人」為前提，招聘這個環節其實不難。我認為真正的挑戰在於，這也是我堅信 AI 與自動化價值的原因，必須幫員工「擺脫枯燥、瑣碎、重複的工作」。如果員工從事的是「有意義的工作」，每天上班都能看到自己的工作帶來的影響、對組織的貢獻，他們就會願意長期留下，尤其是在您持續協助他們成長與學習的情況下。我認為這是留住人才的最佳方式。
我剛加入公司時，整個團隊只有我一個人。現在我已建立起一支規模可觀的 IT 與安全團隊。到目前為止，團隊約 75 人中，只有兩人因其他規劃離開。
Clarke Rodgers：
可見這個方法是有效的。對吧？
Mike Britton：
的確有效。
掌握 AI 創新與新興威脅的最新動態
Clarke Rodgers：
接下來我想深入聊聊 AI 與自動化，但您之前提到的「求知慾」讓我印象深刻。能否進一步解釋為何求知慾如此重要？
Mike Britton：
我們很幸運處在一個資訊爆炸的時代，YouTube 頻道、X 平台動態等各類資訊隨手可及，從不缺乏學習資源。關鍵還是在於「有主動出擊、深入挖掘資訊，並投入時間學習的意願」。如果我只是看到資訊，卻不吸收、不弄懂背後的邏輯，那根本毫無用處。而且我一直堅信「親自動手、實際操作」的重要性。如果您不願意親自嘗試操作，又怎麼可能理解代理式 AI？
「駭客」這個詞如今帶有負面含義，很遺憾，許多惡意攻擊者讓這個詞蒙了汙名。但事實上，回想我年輕時以及早期「駭客」的定義，其實核心只是「想了解事物運作原理」而已。把東西拆解開，嘗試讓它實現原本不該有的功能。這就是一種「理解事物運作原理」的求知慾。安全領域正需要更多這類「駭客思維」。我覺得現在的安全工作，很多時候變成了「以合規為導向、以勾選清單為目標」。當然，風險管理很重要，但同時也必須保有那份求知慾。您必須有「弄清楚事物如何運作、如何可能出錯，並願意親自動手探索的意願。
Clarke Rodgers：
那麼身為領導者，您是如何保持對新知的掌握呢？ 安全環境幾乎每天都在變化，而技術環境的變革速度可能還要快一倍。您如何及時掌握最新動態，以便能向組織內的同儕有效傳達風險資訊？
我認識幾位資安長，他們每天都會在日程表中預留固定時間。也許是每天早上或晚上的一小時。您也會採用類似做法，還是想到某件事就隨時去研究？
Mike Britton：
我每個月會預留兩天時間。這兩天是我的「無會議日」。並不是完全沒有會議，而是原本可能 15 場會議，會減少到三四場。我會有意識地利用這些時間。您必須主動規劃、擠出時間，時間不會憑空出現。不過說實話，我也會在深夜花很多時間瀏覽 X 平台等資源，只為及時掌握最新動態。
Clarke Rodgers：
非常有趣。那麼從組織安全營運的角度來看，您如何看待自動化與 AI 的應用？
Mike Britton：
我認為 AI 具有改變安全領域格局的能力。想想看，現在的攻擊者已經在使用 AI 了。他們會只靠 AI 嗎？ 不會。AI 是他們的主要工具嗎？ 或許不是，但他們的確在使用 AI。這就回到了我們之前聊到的 AI 工具。市面上可能有上百種 AI 行銷工具，能協助撰寫有效郵件，順利進入潛在客戶的收件箱，並促進互動。這些工具已「大眾化」，操作也很簡單。不需要天才也能上手。而攻擊者也能利用這些工具做同樣的事。如果攻擊者透過 AI 提升攻擊效率，以「機器速度」行動，而我仍以「人類速度」應對，那我肯定會輸掉這場攻防戰。
Clarke Rodgers：
確實如此。
Mike Britton：
因此，我的防禦體系、我的計畫必須以與攻擊者相同的速度運作、決策、理解情境並分析狀況。
為代理式 AI 打造資料基礎
Clarke Rodgers：
您如何看待代理式 AI？ 它的發展方向是什麼？ 現在有模型上下文協議、A2A 等技術，您認為這些技術最終會走向何方？
Mike Britton：
其實核心還是在資料。AI 的表現取決於提供給它的大型語言模型，模型好，效果才會好。像 MCP、A2A 這類協議，我認為它們打開了一扇門。看看 ChatGPT、Claude、Gemini，它們都是很優秀的代理式 AI 工具。它們用來提問、解決問題都很出色。但如果我想將其他工具、其他代理與同一組資料連接，我就會擔心「授權」問題。我也會擔心「資料外洩」。它會遵守存取邊界嗎？ 當我將各種工具、代理連接起來，並期望它們自主運作時，會衍生出各種問題。而我該如何監控這一切呢？ 前幾天我和一位資安長聊天，他提到一個擔憂：現在大家都在使用代理式 AI。我怎麼知道合作的供應商會不會突然在我的環境中啟動 AI 代理程式？ 可見性在哪裡？ 我又該如何應對？
Clarke Rodgers：
其實，這歸根結底是一個我們多年來一直在解決的老問題：「誰在什麼時間做了什麼事？」 對吧？ 只不過現在「行為者」變成了組織內的「非人類角色」。
Mike Britton：
這帶來了新的挑戰。比如說，當代理之間互相通信時，人類就完全處在「迴圈之外」。您該如何保障這一過程的安全？ 若您的環境中出現「失控的 AI 代理程式」，您該如何防護？ 但這也正是我熱愛安全領域的原因之一。也是我能堅持從事安全工作近 30 年的原因之一。
Clarke Rodgers：
這個領域從不無聊。
Mike Britton：
我喜歡這種挑戰感。大多數人在一個領域做了 30 年，可能就開始考慮退休了。會想「該鬆懈一下，平穩度過餘下的職涯」。但讓我留在這個行業這麼久的原因之一，就是我喜歡「每天都是新的開始」的感覺。每天都有新的挑戰，能讓我的思維保持敏銳，也能推動我不斷成長。我很享受這種狀態。
Clarke Rodgers：
那麼根據這個話題，我不想讓您為難，但想請問：未來 18 到 24 個月，您認為這一切會走向何方？ 無論是安全領域還是非安全領域，是否會有特定的技術，會成為發展的關鍵突破口？
Mike Britton：
我覺得這既有猜測的成分，也有期望的成分。很明顯，現在行銷宣傳的熱點就是 AI。現在幾乎每個廠商都自稱是「AI 供應商」，市場上充斥著大量雜訊。對技術採購者來說，最難的就是「如何分辨事實與虛假宣傳」？ 如何分辨「真正的 AI」與「只是附加了 AI 外殼的產品」？ 幾乎每個廠商都能在自己的解決方案上「套一個類 ChatGPT 的介面」。但這真的算 AI 嗎？ 這真的能帶來價值嗎？ 因此，我希望未來 18 個月左右，市場能逐漸清晰。就像以往所有顛覆性時刻一樣，市場一定會有輸家與贏家。回顧數位轉型與雲端的發展歷程，花了極長的時間。
Clarke Rodgers：
而且至今仍在持續。
Mike Britton：
而且至今仍在持續。而 AI 的採用速度要快得多。因此，我認為在這波 AI 浪潮中，必然會自然篩選出輸家與贏家。同時我也認為，現在是個令人興奮的時代。我不認為 AI...事實上，我堅信 AI 不會取代工作崗位，但我確實認為，這點也不是我第一個提出：最終不是 AI 取代人類，而是會使用 AI 的人類取代不會使用 AI 的人類。這在某種程度上也意味著…
Clarke Rodgers：
說得很好。
Mike Britton：
招聘標準的改變。我不在乎您五年前從事什麼。我想知道您現在在做什麼。正在探索哪些領域？ 正在構建哪些代理？ 是否在使用 AI 開發工具？ 這些才是我感興趣的，因為-
Clarke Rodgers：
您會覺得好奇嗎？
Mike Britton：
沒錯。您會覺得好奇嗎？
當前環境下給資訊長/資安長的建議
Clarke Rodgers：
回顧您自己的職涯發展與晉升歷程，在當前環境下，您會給那些渴望成為資訊長或資安長的人什麼建議？
Mike Britton：
我的建議是深入了解企業業務。搞清楚企業的盈利方式。弄明白企業各個業務環節如何相互銜接、協同運作。不要一開始就想當然地認為自己知道問題的解決方案。要主動建立人脈關係，先「累積信任資本」，在您告訴其他人「風險在哪裡」或「該怎麼做」之前，先打好關係基礎。
Clarke Rodgers：
我認為，用業務語言來溝通也同樣重要。
Mike Britton：
我覺得很多時候，安全領導者容易陷入「技術思維」。他們熱衷於談論技術，喜歡隨口拋出各種三字母縮寫。要說「業務語言」，用財務長能理解的方式溝通，用銷售主管能認同的邏輯對話；要知道他們擔心什麼、他們的業務目標是什麼，以及他們需要為企業達成哪些成果。
Clarke Rodgers：
要與他們的激勵方向和核心動機保持一致。
Mike Britton：
完全同意。而您的工作，就是說服他們，並引導他們認真思考這些。但歸根結底，每個人都有自己明確的職責定位。他們的存在是為了達成特定的業務目標。
Clarke Rodgers：
非常有趣。在最後，Mike，您想給資安長同行留下哪些總結性建議？
Mike Britton：
這很簡單。這確實是一個挑戰。人很容易變成阻礙進步的保守派，試圖阻礙技術進步，並說「這件事行不通」。但我的建議是積極擁抱。主動接納。多關注那些新興廠商、具有顛覆性精神的廠商。關注那些真正用 AI 實現顛覆、解決實際問題的廠商。不要懼怕技術。對我來說，現在是個激動人心時刻。
Clarke Rodgers：
說得很好。Mike，非常感謝您加入今天的討論。
Mike Britton：
好的，感謝您邀請我。很高興能夠和您聊一聊。
我堅信 AI 不會取代工作崗位，最終不是 AI 取代人類，而是會使用 AI 的人類取代不會使用 AI 的人類。
Mike Britton，Abnormal AI 資訊長