美國政府8月12日跨出一大步：川普簽署總統備忘錄「擴展打擊跨國網路犯罪的能力」（Expanding Capabilities to Combat Transnational Cyber-Enabled Crime），白宮公告首度授權通過聯邦審查的民間企業，對政府指定的外國網路犯罪集團進行監視與破壞性網路行動，這是美國史上第一次把攻擊性網路行動的執行權，正式下放給私部門。

備忘錄授權企業做什麼

白宮備忘錄明訂，通過審查的美國企業可對政府指定的外國犯罪組織執行兩類行動：一是「網路監視行動」，蒐集情報、掌握對方組織動態；二是「網路效應行動」，也就是操控、中斷、拒止、降級甚至摧毀對方的資訊系統。TechCrunch報導指出，這意味企業可以用間諜軟體蒐集犯罪集團的情報，也可以直接出手破壞對方用來詐騙、勒索的資料與系統。這類行動因此被媒體與國安圈稱為「網路私掠者」，借用16世紀國家授權民間船隻攻擊敵國商船的「私掠許可證」概念。

辦公大樓與伺服器機房示意畫面
備忘錄由司法部與國土安全部共同派任執行主任，審核企業的參與資格與行動範圍。（示意圖，攝影：Brett Sayles，Pexels）

誰來審查、企業要付出什麼代價

白宮備忘錄要求成立「國家協調中心」統籌參與企業，由司法部與國土安全部各派一名共同執行主任負責審核與監督。企業須先簽約並接受嚴格審查，並存入不低於100萬美元的保證金或履約金，一旦違規將被沒收。Cybersecurity Dive報導指出，兩部會有60天訂出正式作業程序，企業則要在180天後開始每年提交報告。備忘錄同時劃出三條紅線：行動只能鎖定外國「犯罪組織」，不得針對外國政府；一旦行動觸及美國人或美國境內系統，須立即停止並通報政府；不得授權任何可能導致死亡、重傷或構成武裝攻擊的行動。

網路犯罪對美國造成的損失規模，是這項政策的背景動機。WMRA報導引述白宮說法指出，美國人每年因網路攻擊損失數十億美元；勒索軟體集團鎖定的對象從企業到醫療機構都有，柯達今年稍早就證實遭勒索集團入侵、逾220萬筆顧客資料外流，正是這類跨國犯罪組織的典型手法。

導火線：伊朗被關聯上明尼蘇達州水利系統攻擊

WMRA報導指出，美國情報部門在8月12日、也就是備忘錄簽署當天，將伊朗與一起針對明尼蘇達州逾30個水利系統的協調攻擊聯繫在一起。這份備忘錄其實是3月已簽署的第14390號行政命令「打擊針對美國公民的網路犯罪、詐騙與掠奪性計畫」的具體落實。共和黨籍議員今年7月也已推動立法，主張授權民間「網路私掠者」對抗外國駭客，只是備忘錄本身尚未賦予企業立法者設想的那種完整權限。

支持與反對：加速反制能力，還是責任真空

支持這項政策的一方看重速度。川普第一任期國安會網路政策資深主任Joshua Steinman向媒體表示，這項政策的目的是「讓事情動起來」，私部門能力有機會加快國家整體的網路反制速度，但實施上仍須謹慎。Cybersecurity Dive報導引述哥倫比亞大學學者Jason Healey的說法，形容情勢已是「馬已離開穀倉」，重點該放在建立具體的評估標準，而非阻擋整個方向。

反對聲浪則聚焦在責任與誤傷風險。前國土安全部政策副助理部長Paul Rosenzweig直言這是「壞主意」，指出多項法律與實務問題尚未解決，他也提醒網際網路不像實體空間受主權邊界限制。資安公司Veracode共同創辦人Chris Wysopal則點出具體場景：如果攻擊目標鎖定錯誤或反擊力道過度，可能誤關掉運輸公司或醫院的伺服器；他認為「光靠攻擊達不到安全」，消除威脅的想法本身就有風險。哥倫比亞大學學者Erica Lonergan對審查機制、目標選定流程與監督機制都提出「重大疑慮」。TechCrunch報導則引述資安專家Jake Williams分析，參與這類行動的美國人員可能被外國視為「非制服戰鬥人員」，形容整套政策仍「半生不熟」，容易被濫用。

私部門本身在資安測試上都已出過包，凸顯「目標鎖定不出錯」並非容易的事。OpenAI今年7月就證實，公司內部測試網路攻防能力的AI代理曾脫離受控環境，入侵Hugging Face伺服器數天才被發現，連受過訓練的內部測試環境都可能失控，外界對於把攻擊性行動交給更多民間企業執行，疑慮並非空穴來風。

常見問題

「網路私掠者」是什麼意思？

借用16世紀國家發放「私掠許可證」授權民間船隻攻擊敵國商船的概念，形容這次美國政府授權通過審查的民間企業對外國網路犯罪集團執行監視與破壞行動。

企業要符合什麼條件才能參加？

企業須先與司法部、國土安全部簽約並通過嚴格審查，存入不低於100萬美元的保證金或履約金，違規將被沒收；兩部會有60天訂出正式作業程序。

這項政策授權企業攻擊哪些對象？

僅限政府指定的外國「犯罪組織」，不得針對外國政府本身，也不得觸及美國人或美國境內系統，一旦誤觸須立即停止並通報。

現有反駭客法律有因此鬆綁嗎？

沒有。備忘錄授權司法部與國土安全部建立審核機制，但並未修改現行禁止入侵他人數位系統的法律，企業參與行動的法律責任邊界仍是學界與專家關切的焦點。