PCI SSC發布支付環境AI指引，建議明文持卡人資料操作須人工核准

據 iThome 報導，支付卡產業安全標準委員會（PCI SSC）於10月7日發布公告，說明近期針對支付環境中的AI提出安全指引，提醒企業重新檢視AI系統的權限控管與安全機制。指引所引用的《AI系統安全考量》（Security Considerations for AI Systems）資訊補充文件於9月15日發布，涵蓋AI系統的部署與使用、防範AI遭惡意利用、既有PCI標準在AI情境下的適用方式，以及支付環境中的AI應用案例。文件建議AI代理採取最小自主權（least agency），只取得完成任務所需的最低限度系統、資料存取與執行能力；Human-in-the-loop模式要求每項AI任務由適當人員核准，Human-over-the-loop則允許AI在預先核准範圍內自主執行，但仍須由明確人員負最終責任，並事先界定可自動執行及必須人工核准的操作。若AI代理可存取明文持卡人資料，涉及這類資料的操作應取得明確人工核准；PCI SSC另建議盡可能使用Token化、截斷或加密的持卡人資料，且AI系統不應處理、產生或管理密碼及明文加密金鑰等敏感機密資訊。文件也建議企業建立AI系統清冊與AI物料清單（AI-BOM），管理影子AI（Shadow AI）及第三方AI服務，並針對AI加速漏洞發現與利用、社交工程等風險強化持續監控、漏洞分級與事件應變。PCI SSC並以AI代理協助漏洞管理為例，示範將研判、開發、測試與部署工作分配給不同代理並限制其權限，同時將PCI DSS的變更管理與安全控制要求，例如Requirement 6.5.1，套用至AI驅動的修補流程。這是PCI SSC繼2025年3月發布AI導入PCI評估流程使用指南、同年9月提出支付環境使用AI的高階安全原則後，再次發布相關安全建議。