核心觀念

本題考查生成式人工智慧（Gen AI）如何改變數位證據的可信性，以及鑑識人員如何以技術檢驗、來源查證與完整保全，辨識及證明數位內容遭到偽造或變造。

數位證據易複製、易修改，影像、聲音與文字內容即使看似真實，也不能只憑肉眼或單一偵測工具判斷其真偽。鑑識工作應同時檢驗內容本身、檔案與裝置痕跡、來源與傳遞紀錄，並妥善保存原始證據及分析過程，使結果可重現、可受檢驗。

（一）生成式 AI 對數位鑑識的挑戰（7 分）

1. 偽造內容擬真度提高

生成式 AI 可產製或修改影像、影片、聲音及文字，包括深偽（deepfake）、仿聲、換臉、合成對話與虛構文件。內容可能高度符合人物外觀、語氣與情境，使一般觀察者難以察覺異常，也增加偽證據混入案件的風險。

2. 傳統人工特徵逐漸失效

過去常見的合成瑕疵，例如臉部邊緣不自然、眨眼異常、光影不一致、嘴型與語音不同步等，會隨模型與後製技術進步而減少。鑑識方法必須持續更新，不能依賴固定的偽造特徵清單。

3. 偽造方式及格式多元

內容可能經過生成、剪輯、轉檔、壓縮、重錄或多次平台傳輸。每一道處理都可能改變像素、聲波、編碼及中繼資料，使單一檔案分析難以還原完整製作與傳遞歷程。

4. 真實內容也可能被誤判

社群平台壓縮、低光源、視訊通話、降噪與修復等正常處理，也可能產生類似合成的痕跡。偵測工具可能出現誤判，若將模型分數當成真偽定論，會造成錯誤結論。

5. 偵測工具本身有侷限

AI 偵測模型會受訓練資料、語言、影像品質、生成模型種類及對抗式修改影響。面對未見過的模型或經精心處理的內容，偵測效能可能降低；不同工具的結果也可能互相矛盾。

6. 來源與真實性更難證明

檔案中繼資料可能被移除或竄改，單一檔案通常無法充分證明拍攝時間、地點、操作者及內容未經修改。鑑識人員需取得原始裝置、平台紀錄、雲端備份或其他獨立佐證。

7. 證據完整性、隱私與專業能力要求提高

鑑識人員除須保存證據原貌、建立保管鏈外，也需理解 AI 偵測結果的限制，清楚記錄工具、版本、參數與操作步驟。分析過程若涉及大量個人資料，亦須依案件需求及合法程序控制蒐集與使用範圍。

（二）辨識、處理及證明偽造內容的技術、工具與程序（18 分）

一、先保全證據與建立可追溯紀錄

1. 確認證據來源並合法取得

記錄證據來源、取得時間、取得方式、保管人、裝置與案件關聯。若內容來自手機、電腦、攝影機或雲端帳戶，應盡可能取得原始裝置或原始檔，並依程序保存平台下載資料、傳輸紀錄與相關帳戶資訊。

2. 保留原件並以工作副本分析

保存原始媒體或檔案，避免直接在原件上操作。製作鑑識映像或工作副本，計算雜湊值，例如 SHA-256，並記錄取得與複製前後的雜湊值。雜湊值相同可支持檔案自計算後未改變；但不能單獨證明檔案在取得前未遭偽造。

3. 建立保管鏈與操作紀錄

記錄每次移交、存取、複製、轉換及分析的時間、操作人員、工具名稱與版本、設定參數及輸出結果。保存原始分析輸出，讓其他鑑識人員可依紀錄重現檢驗。

二、以多層次方法檢驗內容

1. 中繼資料與檔案結構分析

使用 ExifTool、MediaInfo 等工具檢視 EXIF、XMP、容器與編碼資訊，包括建立及修改時間、裝置型號、編碼格式、影格率、取樣率及軟體標記。可檢查時間是否矛盾、欄位是否異常、編碼是否與聲稱的來源不符，以及音訊或影片軌道是否有不合理差異。

**判讀限制：**中繼資料可被刪除或修改；缺少中繼資料不是偽造的直接證明，欄位看似合理也不等於內容真實。

2. 影像與影片鑑識

可檢查像素統計、壓縮痕跡、重取樣、複製貼上、拼接邊界、光源與陰影、反射、臉部細節、影格間一致性及音畫同步。常見分析包括錯誤層級分析（ELA）、雜訊模式分析、影像雜訊不一致檢查與影格逐格比對。

核心觀念

MACE 是檔案系統常見的四種時間戳記縮寫，依序代表：

• M（Modified）內容修改時間：檔案內容最後一次被修改的時間。
• A（Accessed）存取時間：檔案最後一次被讀取或存取的時間；開啟、瀏覽可能使其更新，但部分系統會延遲更新或停用此功能。
• C（Created）建立時間：目前這個檔案物件在所在檔案系統中的建立時間。
• E（Entry Modified）項目修改時間：檔案系統中檔案項目或中繼資料最後一次變更的時間，例如檔名、屬性或權限變更；不等同於檔案內容修改時間。

在系統搬移、下載或複製時，目的端通常會建立新的檔案物件，因此 C 最容易改變；M 常保留來源檔案的內容修改時間。不過，實際時間戳記仍受作業系統、檔案系統及複製工具影響。

解題方法

依各時間戳記所代表的事件，先排列先後順序，再比較 C 與 M：若 C 晚於 M，代表目前檔案物件建立時，內容的最後修改時間已較早，符合複製或匯入後保留來源 M 的型態；若 C 早於 M，則符合先建立、後修改的順序。接著以 A 判斷存取線索，以 E 判斷檔案項目或中繼資料變動線索。

題目未指定檔案系統及複製工具，以下按常見 NTFS 的 MACE 定義，依時間戳記作合理推論；時間戳記可受工具或設定影響，單靠 MACE 不能證明完整操作歷程。

（一）四種時間戳記及易變項目

M 記錄內容最後修改時間；A 記錄最後存取時間；C 記錄目前檔案物件的建立時間；E 記錄檔案系統項目或中繼資料最後變更時間。

最容易因搬移、下載或複製而改變的是 C。原因是目的端建立新檔案物件時，C 通常記為目的端建立時間；來源檔案的 M 則可能保留。因此，判讀時不可把 C 直接當成檔案內容最初產生的時間。

（二）兩份檔案的歷程推論

ReportA.docx

時間順序為：

• 建立與修改：C 早於 M，表示目前檔案物件在 2024 年 12 月 1 日建立，內容於 12 月 15 日修改，符合先建立、後修改的時間順序。
• 項目或中繼資料變動：E 為 2025 年 1 月 3 日，晚於 M，表示檔案項目或中繼資料在內容最後修改後又有變動；此時間本身不能指出變動的具體操作。

核心觀念

本題考查的是企業內部資料外洩案件中，從案件受理後進入數位鑑識調查的完整流程。重點是先確保證據不被改變，再以可重現、可驗證的方式取得與分析數位證據，最後提出能說明調查方法、發現與限制的報告。

鑑識流程應遵守四項原則：合法授權、證據完整性、程序可重現、證據保管鏈不中斷。調查前須確認公司對設備、帳號及資料的管理權限，以及調查範圍和授權；調查過程應記錄證據由誰、於何時、以何方式接觸或移轉。取得證據時以唯讀方式操作，並使用雜湊值（如 SHA-256）比對映像檔與原始媒體，確認資料完整性。

本題不是要求僅檢查特定員工電腦，而是要說明案件接收及初步分析之後，如何依序進行保全、蒐集、檢驗、分析、報告與結案。

解題方法

可依「先保全易失資料，再取得靜態證據；先維持完整性，再分析內容；最後以可驗證的紀錄形成結論」作答。流程如下：

一、確認授權、範圍與調查計畫

依第一步取得的案件資訊，將調查目標具體化，例如涉案員工、公司配發的電腦與手機、雲端帳號、電子郵件、網路設備及可疑檔案。確認調查期間、允許檢視的資料類型，以及是否涉及個人設備或私人帳號。

接著訂定調查計畫，列出預定取得的證據、設備與帳號清單、執行人員、工具、保存方式及預定分析方向。若發現調查範圍需要擴大，應先記錄理由並取得相應授權。

二、控制現場並防止證據變動

迅速通知相關管理人員，避免涉案設備被關機、重灌、清除紀錄或遠端操作；限制無關人員接觸設備與帳號，並記錄現場狀態。

對電腦、手機、外接儲存媒體及網路設備逐一編號、拍照，記錄設備位置、品牌型號、序號、連接狀態、螢幕畫面、日期時間及周邊連線情形。若設備仍連線網路，應評估是否隔離網路，以避免遠端刪除或同步覆寫；隔離方式與執行時間均須記錄。

三、先處理易失性資料

若電腦或伺服器仍在運作，應先評估蒐集易失性資料的必要性，包括記憶體內容、目前登入使用者、執行中的程序、網路連線、開啟的檔案及系統時間等。這些資料在關機後通常會消失，因此應在不超出授權且不造成不當改變的前提下，使用適當工具蒐集並詳實記錄操作步驟。

如無蒐集易失性資料的必要，或設備狀態不允許安全取得，應記錄未蒐集的理由，再依核准程序關機或隔離設備，避免任意操作造成資料變更。

四、辨識、封存及建立證據保管鏈

將每項實體設備及數位證據分別編號，製作證據清冊，記錄證據來源、取得時間、取得人、設備狀態、儲存媒體序號及封存方式。原始媒體封存於安全場所，並限制存取。

每次交接、開封、複製或移轉都應記錄交接人、時間、目的及封條狀態，形成完整的證據保管鏈。這可證明證據在調查期間受到妥善控制，也便於日後查核。

五、取得數位證據映像並驗證完整性

對硬碟、SSD、手機或其他儲存媒體，使用適當的寫入阻斷設備或鑑識程序製作位元對位元映像，避免分析時直接修改原始媒體。記錄使用工具、版本、設定、開始與完成時間、讀取錯誤及處理方式。

核心觀念

數位鑑識報告的目的，是讓委託單位與法院清楚知道：鑑識人員受何種委託、檢查哪些證物、採取哪些程序、得到哪些結果，以及結論如何由證據與方法推導而來。報告須具備可追溯性、可重現性、客觀性與可理解性；只列出「找到什麼」，卻未交代證物來源、處理程序與分析依據，難以供法庭檢驗。

報告本身不會因為標題寫著「鑑識報告」就當然具有證據能力。若報告屬刑事訴訟上的鑑定報告，須留意《刑事訴訟法》第198條、第206條及第208條等規定。第206條第3項要求報告交代鑑定人的專業能力、鑑定基礎是否充分、所用原理與方法是否可靠，以及該原理與方法是否可靠地適用於鑑定事項。書面報告原則上也涉及實施鑑定者到庭說明等程序要求。

以下以命題當年（民國114年）法規為準。《刑事訴訟法》第198條、第206條等鑑定制度規定於民國112年修正公布；命題年度適用該修正內容。

解題方法

可依照「誰委託、檢查什麼、怎麼檢查、發現什麼、結論如何、證物如何處置」的順序作答。先列報告基本資料與委託範圍，再說明證物接收與保全，接著交代鑑識方法、分析結果和結論，最後補上限制、附件與簽核資訊。這個順序能讓讀者從案件來源一路追到結論依據，也能檢視證物在過程中是否維持完整。

鑑識報告的關鍵內容與結構

一、報告識別與案件基本資料

報告首頁或基本資料頁應列明：

• 報告名稱、案件編號、委託機關及鑑識機關。
• 委託日期、收件日期、檢驗期間與報告日期。
• 撰寫人、複核人或核准人姓名、職稱及簽章。
• 頁碼與總頁數；使用非一般用語的縮寫時，應先行定義。

這些資料用來辨識報告版本與所屬案件，避免報告與證物、委託事項或其他案件混淆。

二、委託事項、鑑識目的與範圍

說明委託人要求釐清的問題、檢查範圍及鑑識權限來源，例如搜索票、扣押程序、同意或其他合法授權。也要清楚界定本次實際檢驗的設備、媒體、帳號或資料期間，並指出不在檢驗範圍內的事項。

鑑識人員應回答委託的技術問題，不宜將技術發現直接擴張成法律上的有罪判斷。

三、鑑識人員資格與客觀性

列明實施鑑識者的相關學歷、訓練、經驗或專業能力，說明其專業能力與受託鑑定事項的關聯。依《刑事訴訟法》第198條，鑑定人應具備與鑑定事項相應的專業能力，並應揭露法定的分工合作、報酬或資助等相關資訊。

報告應呈現專業判斷的依據，並揭露可能影響解讀的限制或利益關係，避免只提出支持單一方向的資料。

四、證物描述與保管鏈

逐項記載送驗或自行採集的證物，包含：

• 證物名稱、品牌、型號、序號、外觀特徵及唯一識別編號。
• 取得人、來源、取得時間、送交人、接收時間及交接情形。
• 接收時的封緘、包裝、設備狀態與其他可觀察情況。
• 證物保管與每次移轉的日期、時間、經手人及簽收紀錄。

這些內容用來確認報告檢查的是哪一件證物，以及證物在採集、運送、保管與檢驗各階段的流向是否可追溯。

五、證據完整性與取得程序

說明如何保全原始資料、如何取得鑑識映像或工作副本、使用何種寫入阻擋或防止變更措施，以及取得前後如何驗證完整性。報告宜列出雜湊演算法與值，例如 SHA-256，並記錄原始媒體與鑑識映像的雜湊值及比對結果。