OpenAI錄音裝置案｜從僱用前的背景調查談起，防範內部威脅的第一道關卡

大家好，我是TIMEWELL的濱本 隆太。

2026年10月13日，美國司法部公布了一起逮捕案。在舊金山的OpenAI辦公大樓裡，高階主管會議室的電視後方USB連接埠上，被人插了一個錄音裝置。裝置據稱用衛生紙包著藏起來，OpenAI的一名工程師依聯邦刑事告訴狀（criminal complaint）被逮捕¹。

看到這則新聞，許多人的第一個想法大概是：「錄用的時候沒能看出來嗎？」但不論是司法部的公告，還是主要媒體的報導，都沒有寫這位嫌疑人進公司時接受過什麼樣的背景查核¹²。「當初查過就能避免」這種說法，目前沒有任何公開的依據。

即使如此，我認為這起案件值得我們重新思考僱用前的查核。我的立場是：防範內部威脅，第一個要出手的地方是僱用前的確認，優先順序應該放在最前面。但這不代表只靠錄用時的查核就能擋住一切。在日本，錄用階段能查的範圍受到法律限制；而內部人員造成的事故，多數也不是出於惡意，而是出於疏忽。

本文是站在日本企業的立場寫的。臺灣的法規不同，請依貴公司所在地的法令與專業人士的意見調整。我會先把「已知」與「未知」分開，再整理日本企業在錄用時能查核到哪裡，以及通過入口之後要用什麼補強。

先講結論。僱用前的查核，是防範內部威脅的第一道關卡。人進來之後才發現問題，遠比進來之前先確認，花更多時間與成本。不過在日本，做不到美國那種範圍廣泛的身分調查。所以要在法律允許的範圍內，依職務的敏感程度加強，並取得本人同意、留下紀錄。人進來之後，再用實體管控、保密切結書、行為紀錄與離職流程補上。這兩層，就是我的答案。

本文重點（2026年10月14日時點）

• 美國司法部於2026年10月13日公布，OpenAI一名工程師因在高階主管會議室安裝錄音裝置而被逮捕。這是依刑事告訴狀所做的逮捕，尚未認定有罪。該名嫌疑人在僱用時接受了哪些查核、動機為何、裝置是市售品還是自行製作，目前都沒有公開
• 在日本資訊處理推進機構（IPA）的「資訊安全十大威脅 2026」（組織篇）中，內部不當行為造成的資訊外洩排第7名，連續11年入選。在內部威脅的調查中，55%的事件來自疏忽、25%來自惡意、20%來自帳號憑證被盜
• 美國網路安全暨基礎設施安全局（CISA）把適任性的查核，視為降低內部威脅的最初步驟之一。但日本有職業安定法、個人資料保護法與厚生勞動省的指引，對類似身分調查的查核設有明確限制
• 日本企業實際可行的做法：說明目的、取得本人同意後，確認與職務相關的事實；到職時簽署保密切結書；到職後再用實體、紀錄與離職流程補強

美國司法部的公告說了什麼，還有什麼不知道

先把事實當作指控來整理。司法部的公告，是以「據稱」的方式陳述刑事告訴狀的內容，嫌疑人並未被認定有罪。辯護律師表示，嫌疑人應受無罪推定²。本文不提嫌疑人的姓名與國籍，因為我想談的不是個人，而是組織的運作方式。

依公告，嫌疑人自2025年7月起在OpenAI擔任工程師¹²。錄音裝置大約在9月28日被放置，9月30日左右由員工發現。地點是高階主管會議室，據報導這間會議室用於研究、產品規劃與事業開發等高度機密的討論²。裝置據稱經過加密¹。10月5日，公司的保全人員又在另一棟大樓某個房間遺留的包包裡，發現了外觀相似的第二個裝置¹。

我想特別提出的，是刑事告訴狀所描繪的「一連串細小的徵兆」。監視器畫面據稱拍到嫌疑人多次未經授權出現在高階主管會議室附近。放置裝置之前，嫌疑人用公司內部的工作工具，查詢過大樓地址、會議室與高階主管的所在位置。另外，以嫌疑人配偶名義註冊的AI聊天機器人帳號，據稱在9月24日至30日之間，送出了關於製作、安裝與遠端操作錄音裝置的提問¹。這些行為單獨看，任何一項都不足以認定為不當。累積在一起，輪廓才逐漸浮現。

OpenAI在發現裝置後聯絡了FBI，並解僱了這名員工。公司表示，目前沒有跡象顯示模型權重、原始碼或客戶資料被未經授權存取或帶出²。罪名是使用裝置竊聽口頭通訊，或意圖如此。法定刑度上限是5年有期徒刑與25萬美元罰金¹。10月13日進行了首次出庭，10月19日預定舉行羈押聽證²。

項目	已公開的內容	尚未公開的內容
裝置	插在高階主管會議室電視後方的USB連接埠。用衛生紙包著，據稱經過加密。放置約2天後被發現	是市售品還是自行製作。錄到了什麼內容
經過	監視器畫面、內部工具的查詢、以配偶名義註冊的AI聊天機器人的提問（皆為告訴狀的指控）	動機。是否有外部關係
嫌疑人	2025年7月到職的工程師。受無罪推定	僱用時接受了哪些查核
損害	OpenAI表示沒有資料遭未經授權存取的跡象	對話被錄到什麼程度

表中粗體那一列，是本文的起點。很容易讓人想寫下「當初做過背景調查就能防範」，但不論公告還是報導，都沒有這樣的依據。我們不知道當時有沒有做查核，做了卻沒查出什麼，還是造成問題的根本就不是查核能發現的資訊。涉及真實的公司與個人時，把不知道的事老實說成不知道，是最基本的禮貌。

那麼，從這起案件能說什麼？讓我暫時離開案件，談談內部威脅整體的狀況。

為什麼僱用前的確認，是內部威脅的第一道關卡

先看數字。在日本資訊處理推進機構（IPA）的「資訊安全十大威脅 2026」中，組織篇的「內部不當行為造成的資訊外洩等」排第7名，而且連續11年入選³。名次不是最前面，卻年年都在榜上。和每次出現新手法就成為話題的威脅不同，內部不當行為是一直都在的威脅，這是我的解讀。

成本方面，有波耐蒙研究所（Ponemon Institute）2025年的調查。調查對象是349個組織、8,306名實務人員，內部威脅每年造成的平均成本為1,740萬美元，平均要花81天才能控制住⁴。這份調查由銷售內部威脅管理產品的公司贊助，數字需要打個折來看。不過，「從發現到止住要花兩個多月」這個方向，我認為說得通。

再看同一份調查的細項。55%的事件來自疏忽的員工，25%來自惡意的內部人員，20%來自帳號憑證被盜的內部人員⁴。就算在錄用時把惡意的人全數排除，能防住的也只有整體的四分之一。這一點我想老實說：只靠僱用前的查核，解決不了內部威脅。

儘管如此，我仍把僱用前的查核放在第一位，理由有三個。

第一，權限在到職當天就交出去了。公司帳號、門禁卡、會議室預約、內部工具的搜尋功能，從到職第一天起，這個人就能在公司內自由行動。這起案件中，告訴狀指稱嫌疑人能在內部工具查詢會議室與高階主管的位置¹。等人進來之後才縮減權限，是在已經起疑之後才開始的工作。

第二，到職後才查核，容易傷害關係。在沒有理由的情況下單獨調查某個人，會損害對方的信任。如果在僱用前，就能對所有人用同樣的條件，事先說明目的後再查核。同樣的查核，時間點不同，意義就不同。

第三，成本差距。這是我的見解，沒辦法用數字證明。僱用前的查核，每個人只需要幾天的作業。人進來之後才發現問題，就要走調查、權限盤點、懲處程序，甚至可能要報警。前面Ponemon調查顯示的平均81天，大概就是這段過程長度的一個縮影。

美國的CISA也指出了同樣的方向。CISA在2024年7月的說明文件中表示，填補敏感職務的關鍵基礎設施業者，可以透過對預定錄用者進行適當的背景查核，來防範內部威脅，並把適任性的判斷，視為降低內部威脅的最初步驟之一⁵。我所說的「第一道關卡」，正是依循這個定位。

不過，讀到這裡就覺得「那照美國的做法做就好」，是很危險的。日本有日本的規則。

在日本錄用人員，哪些可以查、哪些不能查

CISA的說明文件所舉的查核例子，包括確認官方身分證件、查詢州與全國層級的公開紀錄、以及佐證過去的經歷。文件也建議，範圍要擴及約聘人員、外包廠商、供應商，以及所有能進出工作場所的人，而不只是正職員工⁵。同一份文件還提到，部分紀錄查詢需要本人的書面同意，制定方針時應讓法務人員參與。這是以美國制度為前提、相當深入的查核。

在日本，做不到同樣的事。劃定界線的，是三份文件。

第一是日本的職業安定法。第5條之5規定，徵才者蒐集求職者的個人資料時，必須在達成業務目的所必要的範圍內，明示目的後蒐集，並且只在該範圍內保管與使用。例外是取得本人同意，或有其他正當理由的情形⁶。換句話說，「以防萬一，全部查一遍」是不被允許的。必要性、明示目的與本人同意，是出發點。

第二是日本厚生勞動省的手冊《公平的錄用甄選》（2026年度版）。其中寫到，在錄用甄選時掌握「與本人責任無關的事項」或「本應自由的事項（與思想、信念有關）」，可能導致就業歧視。手冊也提醒，實施身分調查可能導致就業歧視；調查應徵者的戶籍或生活狀況，等於是在掌握與適性及能力無關的事項，而這類資訊常夾帶真偽不明的傳聞與偏見⁷。

第三是日本的個人資料保護法。第2條第3項把本人的種族、信條、社會身分、病史、犯罪紀錄等，定為「需特別留意的個人資料」（日文稱「要配慮個人情報」），第20條第2項規定，原則上不得在未事先取得本人同意的情況下取得⁸。想確認犯罪紀錄是很自然的念頭，但在日本，這是需要相當謹慎處理的資訊。

那是不是什麼都不能做？並非如此。日本厚生勞動省把公平甄選的基準，放在應徵者的「適性與能力」上⁷。我的理解是，確認與適性及能力有關的事項，落在這個框架之內。這是我個人的解讀，具體作法請與律師或日本的社會保險勞務士（勞動與社會保險方面的專業人士）確認。我整理成下表。

類別	範例	作法
較容易正當化的查核	學歷、職歷、證照、負責過的業務、在前雇主的工作狀況	在必要範圍內，說明目的並取得本人同意後查核。向前雇主查詢也需本人同意
需謹慎處理	犯罪紀錄	屬需特別留意的個人資料，原則上需本人同意。請專業人士判斷該職務是否真的必要
應避免	戶籍、生活狀況調查、與思想及信念有關的事項	日本厚生勞動省指出可能造成就業歧視的事項。身分調查也屬此類

在這個框架內，有一個可以向CISA借用的想法：依職務調整查核的深度。CISA要求雇主針對每個職缺，依評估的風險程度與營運環境，訂定錄用前的查核方針⁵。不要對所有人套用同樣的份量。對於會參與高階主管會議、從事研發、或接觸高度機密資料的職務，在確認職歷與向前雇主查詢時要更仔細。這裡的「更仔細」，不是「查得更廣」，而是不省略同樣的查核項目，並且留下紀錄。

另外補充日本公部門指引的情況。IPA的《組織內部不當行為防範指引》第5版列出了33項對策，我沒有找到建議在錄用前做身分調查的項目。取而代之的，是到職時的保密切結書⁹。依我的理解，日本的實務與其在入口廣泛調查，更重視讓員工在到職時清楚理解自己的義務。下一節會談這份切結書的意義。

通過入口之後才有效的管控，以及會議室的USB連接埠

就算把僱用前的查核放在最優先，也不能對通過入口的人永遠毫無保留地信任。這起案件能學到的實務經驗，我覺得反而多在這一側。

先談實體。這次的裝置，據稱是從電視後方的USB連接埠取電¹。會議室裡有螢幕、視訊鏡頭、擴音話機、充電用的供電埠，這些設備的背面平常幾乎沒人看。我建議的第一步，是盤點會議室與接待室的設備與USB連接埠。找出沒人說得清來歷的設備、沒在使用的供電埠、不認得的線材，並把檢查日期記下來。不要只看一次，要像每季一次那樣，按固定的間隔重複。攜入設備的規定，以及對訪客與清潔、施工外包廠商的陪同，也可以放進同一次檢視。

其次是人員行動的紀錄。刑事告訴狀把反覆未經授權進入受限區域，以及在工作工具查詢高階主管所在位置，列為徵兆¹。出入紀錄、非上班時間的進出、內部工具的搜尋日誌，只要善用，就能及早發現「與權限不相符的行為」。但這不是為了監視員工。要事先說明目的、寫進公司內部規定並讓員工知悉，同時限縮可以查看的人與範圍。不損及信任的運作方式，是前提。

第三，是到職時的保密切結書。IPA的指引要求向董事與員工取得保密切結書。除了到職時，也建議在升遷造成職務變動、調職、專案結束等節點，再次取得。理由是：沒有切結書的話，對發生內部不當行為的人所做的懲處，可能被主張程序不當而失效⁹。同一份指引也註明，在離職時才要求切結書，對方可能拒絕。所以要在到職時與在職期間取得。

第四是離職。停用權限、收回公司設備與門禁卡、整理帳號。許多日本企業把離職手續視為人事的文書作業，沒有和資訊系統或總務連動。請檢視看看，貴公司的離職流程，是否和入職流程一樣明確。

最後是對疏忽的準備。前面引用的調查中，55%的事件來自疏忽⁴。把機密資訊貼到生成式AI、分享連結的範圍設錯、打開可疑郵件的附件。沒有惡意的事故，可以靠教育訓練減少。本公司在日本提供「WARP SECURITY」，是讓管理階層與第一線員工在同一間公司一起參加、為期兩天的課程。若您需要訂定內部規定與訓練的起點，歡迎參考。

這些事不必由一個組織一次全部做好。下一節提供做的順序。

中小企業從明天開始的順序

我依成本與工夫由小到大排列。不需要照搬大企業的機制。

1. 依機密程度把職務分成三級。全員、接觸機密資訊的人、參與高階主管會議或從事研發的人，這樣分就夠了。這會成為之後判斷的基礎。
2. 盤點會議室與共用設備。本週就能完成。找出沒人說得清來歷的設備與沒在使用的USB連接埠，並記下日期。
3. 依各級訂出僱用前的查核項目。以學歷、職歷、證照的佐證，以及向前雇主查詢的處理方式為核心。準備向本人說明目的的文件與同意書格式，請律師或專業人士確認。
4. 備妥到職時的保密切結書，並在節點時重新簽署。寫法要讓應保密的資訊能客觀辨識，並在每次升遷、調職、專案結束時更新⁹。
5. 建立能發現「與權限不相符行為」的機制。從出入紀錄與非上班時間進出的確認開始。目的與範圍要寫進內部規定。
6. 訂定離職流程。停用權限、歸還設備、整理帳號，要在人事、總務與資訊部門之間串成一個流程。
7. 每年檢視一次。隨著職務變動與組織擴大，調整分級方式與查核範圍。

如果不知道從哪裡開始，先做1和2就好，幾乎不花錢。想看更完整的入侵防範清單，可以參考入侵事件下篇的檢查清單。談到自家網路入口的防護，說明封鎖海外連線限制的那篇文章也值得一讀。

結語

OpenAI這起案件讓我們看到的，是一個USB連接埠就能讓裝置進入討論機密事項的會議室，而發現的人是員工。至於這名工程師當初被查核了什麼，我們不知道。我不會用這個空白，去主張「僱用前做過查核就能防範」。

即便如此，我仍然認為，防範內部威脅的第一步，是在人進來之前先確認。因為那是權限交出去之前、關係受損之前、成本膨脹之前。日本的法律限制了能查的範圍，所以要在這個範圍內，依職務的敏感程度加強，並取得本人同意、留下紀錄。人進來之後，再用會議室設備檢查、保密切結書、行為紀錄與離職流程來補強。

下週，請看一下貴公司某間會議室電視的後面。您不太可能發現什麼裝置，但也許會看到一條沒人說得出來歷的線。即使如此，親自確認自己的場所，這個習慣就是最可靠的準備。若想討論僱用與到職後管控的規劃，歡迎預約個別諮詢。

Footnotes

1. 美國司法部新聞辦公室（Office of Public Affairs）新聞稿 — 2026年10月13日（英文）。刑事告訴狀的內容，以「如告訴狀所述（as alleged in the complaint）」的方式記載。 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰

2. CBS News — 2026年10月13日（英文）。內含OpenAI的聲明、辯護律師的發言，以及出庭與聽證的日期。 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

3. 日本資訊處理推進機構（IPA）「資訊安全十大威脅 2026」— 2026年1月29日公布（日文）。組織篇第7名「內部不當行為造成的資訊外洩等」，連續第11次入選。 ↩

4. DTEX Systems新聞稿 — 2025年2月25日（英文）。調查由Ponemon Institute執行（IT與資安實務人員8,306人、349個組織）。DTEX銷售內部威脅管理產品，並贊助了這項調查。 ↩ ↩² ↩³

5. 美國網路安全暨基礎設施安全局（CISA）「Resources for Onboarding and Employment Screening」— 2024年7月（英文） ↩ ↩² ↩³

6. 日本職業安定法 第5條之5（求職者等個人資料的處理）— e-Gov法令檢索（日文） ↩

7. 日本厚生勞動省《公平的錄用甄選》手冊 2026年度版（日文） ↩ ↩²

8. 日本個人資料保護法 第2條第3項、第20條第2項 — e-Gov法令檢索（日文） ↩

9. 日本資訊處理推進機構（IPA）《組織內部不當行為防範指引》第5版（2022年4月修訂）對策(23)（日文頁面）。內文依英文版確認。 ↩ ↩² ↩³