【大纪元2026年03月02日讯】（大纪元记者林丞奕 台湾台北报导）全球人工智慧（AI）浪潮快速推进，市面不少产品皆与AI挂钩，但近期红遍全国的AI录音笔遭揭露主打美国产品，其背后疑为中资，外界担忧其资安问题。对此，专家表示，“声音是生物特征”，若遭有心人士窃取，恐面临诈骗风险。
被称为AI录音神器的“PLAUD NotePin”，获得不少民众青睐，也吸引不少科技人、KOL纷纷推荐。不过，台湾专利师袁如陵日前于脸书指出，产品宣称来自美国公司“NiceBuild”，同时以“Plaud Inc.”名义经营，但从公开的商标与注册资料显示，其实际背后操盘者是来自“深圳机智连接科技有限公司”。
成大教授李忠宪向《大纪元》表示，市面上不是只有该产品如此，不少背后疑为中资的产品都会运用复杂的手法绕过不同国家，但不同国家都有其认定背后是否有中资的方法，譬如查验产品背后资金来源、主要相关人士，以及技术等。
使用美国服务就安全？ 专家：涉有中资皆有资安疑虑
有位科技达人曾在脸书分享，与厂商确认后，虽产品研发制造有中国公司的参与，但PLAUD的云端服务使用美国 Amazon Web Services （AWS）资料中心，台湾用户资料全部储存在美国境内，并不会传输至中国。
即便使用AWS美国的机房，风险仍不会消失。李忠宪提出多项可观察的面向，包括软体程式码、更新由谁掌控；管理、维护权限由谁掌控；法律面向的服务条款；是否有第三方的转处理器，包括语音转写、LLM（大型语言模型）分析服务；应用程式（APP）的权限、应用程式介面的金钥等。“这些细节都有影响”。
李忠宪强调，录音的资料是高敏感的，但不少民众认为，只要不说机密就没关系，“这是重大的误解”，对于攻击者而言，语音资料本身就是资产。除录音内容外，也包括声音特征、说话互动、情境、人际关系等。
李忠宪指出，中国的APP管理都很松散，若被钓鱼、资料库的大量录音档被拉走，或塞进恶意功能到新的版本里。他说，这些录音档若被转到第三方服务里，资料流向将变的复杂，所以使用AWS的服务是基础条件，并不是保证资料就不存在风险。“收集、传输、储存、处理、分享、删除，每个环节都存在资讯安全的问题”。
针对塞入恶意功能，李忠宪说，在APP植入恶意的SDK（软体开发套件），或是过度要求权限，都可看到用户的通讯纪录、备忘录、行程、定位等。就像英国媒体《每日电讯报》日前披露，2021到2024年间，中共黑客入侵多名英国高级官员的手机。
前数位发展部部长黄彦男向《大纪元》分析，资料上传云端需经过许多层级，包括网路层、应用层、平台层等，由于其产品背后牵涉中资，即便数据送到AWS，但在资料运送的过程中是否传到中国都是可能发生的，“不代表使用AWS服务，资料就不会被送入中国”。
黄彦男强调，产品从上到下，会经过许多层级，至于某些层是否会串联到中国去，只要有心窃取、监听，以现在技术而言，完全可以做到。虽然他对于其产品不熟悉，但若真要做舆情数据搜集、影音自动生成等，只要是中制产品皆有资安的疑虑。
至于层级部分，黄彦男解释，小米手机连到中华电信服务器，中间经过应用层、平台层、网路层、韧体层，最后到晶片，每个层级都能做一些事情，包括将资料送走。因此，有些国家机关就会规定不能使用中制产品，不论硬体、软体都一样，因为政府无法保证没有漏洞、后门等。
“声纹”外泄 专家：生物特征一辈子换不了
“声音是生物特征”。李忠宪举例，家人接听电话不用说“我是你小孩”，基本上就能辨认出来，若“声音”遭窃取，根据现在的AI技术是可以训练，包括真实人声、自然语调训练等，最终会生成很像真人的声音。
李忠宪指出，声音特征一旦遭窃取，或散播出去就无法更改，“个人账户的密码能更改，但生物特征、声音无法改变，若脸孔资料遭窃取一辈子也换不掉”。
李忠宪表示，经过AI训练后，音色、口音、语气、停顿节奏等，最终都能够产生以假乱真，包括社群媒体上出现许多影片模仿政治人物；仿真影片多为拿来“诈骗、认知作战”，对于没有正确观念的民众相对危险，他们并不会认为这是“恶意”，所以对于有心人士来说，仿真影片“成本很低、收益很高”。
因此，李忠宪说，录音档若遭窃取，“声纹”恐被利用，有心人士运用所谓的Voice Cloning（语音复制），撷取原先的内容，在产生想要的对话，“肯定与否定可能相差一个字，但出现在内容上，意义就完全不一样”。
李忠宪以亲友诈骗举例说明，诈团使用家人声音打电话，只要说“我出事了，先将钱汇款过来”，一旦没有再度经过确认，很快就遭诈骗；公司诈骗型态亦是，使用主管声纹致电给会计，要求会计汇款，在许多诈骗案件里，几千万、上亿都存在，一旦金钱转出，要追回来也相当不易，可能已经转十几手。
专家建议：挑选独立运作产品 避免资安风险
至于民众该如何挑选AI产品。李忠宪强调，录音笔若有上网、上传云端的避免使用，尽量购买独立运作的产品。他说，并不是产品来自美国，资安就是可靠，通常需确认许多环节，包括品牌供应链透明度、公司登记实体地址、品牌由谁经营等。
此外，针对政府是否对不同产品进行检测，黄彦男说明，虽政府对不同产品进行检测，但没人敢100%挂保证其产品无资安风险，因为涉及面向过于复杂，一时之间也无法侦测到。对此，政府的检测就是，使用产品系统时，先监测一段时间，观察讯号有无送往奇怪的地方。
黄彦男说，只要涉及中资、中国零件等，在政府部门就是规定避免使用，也是有法可依，但对于民众部分，目前没有任何法律可禁止民间使用，若要特别进行管理就需要修法，但修法并没有这么容易，需要许多的配套措施，因此政府的角度就是提醒民众，让民众清楚中资产品所带来的资安问题。
官方：产品标示明确 传输皆采用TLS加密机制
记者询问 Plaud Taiwan（台湾官方）。 Plaud 向《大纪元》澄清，Plaud 产品有明确标示“Made in China”，服务器则是位于北美的数据安全地区，并受当地的法律保护；Plaud与供应商签订保密与安全协议，资料传输将使用资料安全传输通道，确保产品从制造环节符合Plaud的安全要求。
针对数据传输等疑虑，Plaud 说明，他们采用分层安全防护架构，涵盖传输加密、储存加密、存取控制与日志稽核等措施，可保证使用者资料在整个生命周期中的安全性。
此外，Plaud 说， Plaud App 存取个人的音档时，可以选择是否开启云端同步（Private Cloud Sync）。若选择开启，音档可同步在云端，只要账号不删除，只要用户记得账号、密码，资料皆会保留；选择不开启，音档只会保留在手机本地，若删除 App 则资料会永久遗失，无法复原。
Plaud 补充，他们未于中国地区设置使用者资料储存环境，亦未设计或主动将使用者内容资料传输至中国境内之服务器。在全球网际网路架构下，资料封包于传输过程中可能经过不同的网路节点进行路由，但所有传输过程，Plaud皆采用TLS（传输层安全性协定）加密机制，资料在传输期间始终处于加密状态。
责任编辑：晓玫
