一樁看似單純的 AI 使用行為，卻在美國聯邦資安體系內部掀起不小震盪。根據POLITICO報道，負責守護聯邦網路安全的關鍵機構——美國網路安全暨基礎設施安全局（CISA），其代理署長 Madhu Gottumukkala 去年夏天曾將多份標示為「僅供公務使用（For Official Use Only, FOUO）」的政府合約文件，上傳至公開版本的 ChatGPT，隨即觸發 CISA 內部多起自動化資安警示，並升高至 DHS 層級進行潛在損害評估。
從資安角度來看，此事件格外諷刺。Gottumukkala 不僅是聯邦政府最高層級的資安主管之一，還是在多數 DHS 員工被禁止使用 ChatGPT 的情況下，親自申請並獲准例外使用該工具。然而，正是這項「例外授權」，最終成為敏感資料外流風險的導火線。
雖然相關文件未被列為「機密等級」，但 FOUO 本身即代表資料具備實質敏感性，不得對外公開。更關鍵的是，任何輸入公開版 ChatGPT 的內容，理論上皆會被第三方平台（OpenAI）接收並處理，這與政府內部自建、資料不出網的 AI 工具（如 DHSChat）在風險模型上存在本質差異。
CISA 內部的資安感測機制於 8 月初即偵測到異常行為，短短一週內多次發出警示，並促使 DHS 高層介入調查，評估是否對聯邦網路安全造成實質影響。至於調查最終結論，目前並未對外公開。
CISA 對外回應則強調，該次 ChatGPT 使用屬於「短期、有限範圍」，且在 DHS 控管機制下進行，同時重申政府致力於在風險可控前提下推動 AI 創新，回應川普政府解除 AI 發展限制的政策方向。不過，這樣的說法，仍難以完全消弭外界對「人員風險」與「治理落差」的疑慮。
從資安專業觀點來看，這起事件凸顯的並非 AI 本身的危險性，而是治理與使用邊界的失守。當最高資安決策層未能清楚區分「可用 AI」與「可對外輸入的資料」，即使再成熟的防禦體系，也可能從內部被繞過。
這起事件對全球政府機關與大型企業都是一個明確警訊：
在導入生成式 AI 的同時，「誰可以用、用在哪、資料能不能上傳」不只是 IT 政策，而是資安治理與風險管理的核心問題。否則，最先被 AI 放大的，恐怕不是效率，而是組織自身的制度漏洞。