資安這塊永遠沒有盡頭

10 月 16 日，91APP 發了重大訊息：旗下 Commerce Cloud 資料庫遭到自動化攻擊，部分資訊被非法擷取。已經有合作品牌的消費者收到詐騙信，裡面寫的是真實的訂單資訊。差不多同一個時間，台灣的雲端部署平台 Zeabur 第二度遭到入侵，10 月 17 日宣布年底停止營運。

這幾天接連看到這兩件事，我的感受是：現在用 AI 寫程式，開發門檻確實降低了，但不代表做產品的門檻降低了。AI 越來越強，資安會越來越被重視，而且這塊永遠沒有盡頭。

攻擊只要一招，防禦要面面俱到

沒有一套軟體能夠聲稱自己固若金湯、不會被入侵。攻擊與防禦的成本可說是天壤之別——攻擊有機會一招打天下，防禦卻要面面俱到，先要知道別人可能用哪些方式入侵，才有可能防範。

Zeabur 第一次出事就是很好的例子。依創辦人的說明，攻擊者拿到一把從內部流出去的 AWS 管理金鑰，從一個本來已經在逐步停用、卻還在線上跑的舊服務進去，再一路取得公司內部網路（VPN）的權限，最後進到主資料庫，專門把使用者存在環境變數裡的 OpenAI、Anthropic 等 AI 服務金鑰匯出來。部分使用者的 AI 金鑰真的被拿去盜刷。

一把外洩的金鑰，加上一個還沒停用完的舊服務，就夠了。防守的一方要顧到每一把金鑰、每一台機器、每一個舊服務；攻擊的一方只要找到其中一個破口。

91APP 這次外洩的資料類型、筆數和受影響的品牌數量，公告都還沒講清楚，要等第三方調查結果。但可以確定的是，資安這塊的重要性只會逐年上升。據我所知，近期其實也有很大的平台發生資安事件，只是沒有公開而已。

開發門檻降低，做產品的門檻沒有

Zeabur 連續遭受兩次攻擊，成了壓垮整個平台的最後一根稻草，其實滿令人唏噓的。

新時代有新時代的挑戰。開發門檻降低之後，程式能跑起來只是第一步，金鑰怎麼存、舊服務什麼時候真的關掉、使用者資料被拿走時怎麼通知，這些都是做產品要扛的事。

那些整天鼓吹 vibe coding（用口語跟 AI 描述需求，讓 AI 直接把程式寫出來）就好的人，只是還沒被現實修理而已。

現在在教寫程式，卻不教資安相關的課程，是不負責任的。

---

91APP 官方說明：https://91app.com/blog/91app-202610-security/
iThome 報導：https://www.ithome.com.tw/news/179741
Zeabur 第一次資安事件：https://infosecu.technews.tw/2026/08/31/zeabur-security-incident
Zeabur 停止營運公告：https://zeabur.com/blogs/zeabur-is-shutting-down