全方位整合與自動化網路資安領導廠商 Fortinet®（NASDAQ：FTNT）今（28）日發布《2026年網頁應用程式安全報告》，針對全球超過 800 位資安專業人士進行調查，深入探討在 AI 重塑應用程式架構、威脅趨勢與防禦機制的背景下，各組織如何保護其網頁應用程式（Web Applications）與應用程式介面（Application Programming Interface，API）。
報告指出，僅有 29% 的受訪者對其組織的整體應用安全態勢具備信心；而涉及整合 AI 的應用程式時，信心度降至 15%；面對 AI 生成的攻擊時，更進一步降至 12%。這突顯了現代網頁應用程式與 APIs 的運作方式，與現行安全防護機制之間存在明顯落差。儘管 AI 已整合至應用程式邏輯、工作流程與 APIs 之中，但相關安全控管機制仍停留在過時的防禦假設思維，難以因應當前威脅環境。
Fortinet 台灣區總經理吳章銘表示：「AI 正在改寫應用程式安全的運作模式，攻擊面正以前所未有的速度擴張。對高度依賴供應鏈整合的台灣產業是極大警訊，當偵測速度跟不上攻擊步伐，傳統單點式防禦將崩解。企業需重新思考架構簡化、可視化與平台化，並整合訊號、消除資訊孤島。有效運用 AI 恢復對安全環境的掌控，強化組織資安韌性。」
Fortinet《2026年網頁應用程式安全報告》關鍵發現：
● AI擴張了應用程式攻擊面，55%企業視為主要威脅：整合AI的應用程式會動態生成 API 呼叫、於執行期間調整行為，並依情境串聯內外部服務鏈。這種高度動態的運作模式，使得傳統以固定資產清單與週期性政策更新為基礎的安全機制，難以真實反映現代應用環境。資安團隊難以完整盤點的 AI 整合應用與 API 端點，正迅速成為攻擊者鎖定的主要目標。調查顯示，AI 生成或 AI 加速攻擊（55%）、影子或未歸檔的 API（51%）及 AI 導入所帶來的漏洞（43%），已成為企業面臨的主要風險。同時，74% 的受訪者表示，AI 輔助的攻擊有所增加，其中 35% 認為增幅顯著。這類攻擊能持續測試憑證、系統性探測 API，並動態調整行為以規避傳統防護機制。
● 安全可視性盲區與高風險並存，僅13%企業高度掌握應用程式與API：報告顯示，僅 13% 的組織極度有信心掌握其環境中使用的所有應用程式與 API。67% 受訪者將 API 視為風險最高的應用類型，更有 53% 坦言對其缺乏可視性。隨著 AI 加速應用環境變遷，包括動態生成端點、非正規的依賴關係增加，以及未受控管的影子 AI 工具，使得基於傳統資產清單的安全模型，難以因應現代應用程式的開發與部署模式。
● 當防禦趕不上攻擊，過半數組織曾遭網頁應用程式或API資安事件：53% 企業曾遭遇與網頁應用程式或 API 資安事件，僅 20% 的組織能在數小時內偵測到入侵，54% 需一週以上，近三分之一甚至需耗時超過一個月；在事件補救措施上，68% 需一天以上，39% 更長達一個月以上才可控制事件。由於攻擊多發生於合法存取路徑中，例如當合作夥伴 API 因整合憑證遭破解造成資料外洩時，若偵測機制僅依賴特徵碼規則，往往難以及時示警，甚至可能數月後才由第三方發現、而非內部安全團隊。其根本原因在於訊號分散於不同系統：身分驗證顯示合法登入、API 閘道呈現正常請求、應用日誌記錄例行操作，各系統僅掌握片段資訊，彼此缺乏整合，難以將威脅識別為具有關聯性的攻擊模式。
● 工具碎片化加劇風險，僅5%受訪組織滿意現有資安工具：要將 AI 部署於適當的工作流程中，需要一個具備能將 AI 洞察轉化為行動的安全平台。然而僅 5% 受訪者表示對現有應用程式資安工具感到滿意。當前主要挑戰包含各工具間政策執行不一致、控制機制重複，以及網頁應用程式與 API 安全系統之間的遙測資料破碎化。此外，可視性不足（51%）、誤報率高（46%）及工具整合不佳（34%）等問題，在偵測與執行機制彼此獨立時，這些問題將變得更加嚴重。
組織需因應不斷變化的威脅，包含在持續變動的環境中即時資產盤點、偵測合法流量中的威脅、即時識別攻擊，以及在各防護節點間建立共享脈絡與一致性政策。單一面向的改善，已難以有效提升整體資安成效。當前的主要課題並非安全機制的功能不足，而是現行應用架構未能跟上現代網頁應用程式、API 及 AI 工作負載的發展速度。
隨著攻擊持續演進，企業需重新整合可視性、偵測與政策執行機制，FortiAppSec Cloud 能整合網頁應用程式和 API 安全來應對這些挑戰。將 WAF、API 保護、機器緩解和應用安全服務整合至統一平台中，使組織可在整個應用層面，執行一致性的政策並共享遙測資料，有效降低因控制點分散與安全工具獨立所造成的防護缺口。
