114 關務升官等考試薦任 技術類（選試系統分析） 系統分析 考古題詳解
第 一 題25 分
使用 AI 工具協助生成或修改程式碼，已漸漸融入軟體工程師的工作習慣中。AI 協助雖然可以提高生產力，但也帶來對應的風險。若您部門中的工程師大量使用此種開發方式，可能會帶來風險。請列舉至少三項對應的風險，並說明可以透過哪些做法來降低或避免此類風險？
登入後即可作答並保存紀錄。
核心觀念
本題考查的是 AI 協助軟體開發的風險管理：AI 產生或修改的程式碼仍須由工程師負責審查、測試與維護。風險可從程式品質與安全、資料與智慧財產權、團隊能力與維運等面向分析；降低風險則應搭配技術控管、流程規範及人員訓練。
解題方法
先列出使用 AI 程式碼工具可能造成的具體損害，再為每項風險配對可執行的預防或偵測措施。作答時避免只寫「注意安全」或「加強管理」等籠統語句；應說明如何落實，例如以程式碼審查、測試、權限控管和資料分類等措施降低風險。
風險及因應措施
-
程式錯誤與品質不佳 AI 可能生成語法正確但邏輯錯誤、未符合需求或未考慮例外情境的程式碼，造成系統功能異常、資料錯誤或服務中斷。 **因應措施：**要求工程師理解並審查 AI 產生的程式碼；執行單元測試、整合測試、回歸測試及程式碼靜態分析；重要功能採同儕審查，並依版本控制與程式碼核准流程合併。
-
資安漏洞與不安全的程式設計 AI 可能使用有漏洞的套件、錯誤處理輸入驗證不足，或產生不安全的身分驗證、權限控管及資料處理程式碼，讓攻擊者得以竊取資料或入侵系統。 **因應措施：**將安全檢查納入開發生命週期，使用弱點掃描、相依套件檢查與安全測試；依最小權限原則設計存取控制；對涉及身分驗證、加密及敏感資料的程式碼加強人工審查，並依組織安全標準修補漏洞。
-
機密或個人資料外洩 工程師若將原始碼、帳號密碼、個人資料、業務資料或內部文件輸入外部 AI 服務，資料可能被服務商留存、用於模型訓練，或因帳戶及設定不當而遭未授權存取。
第 二 題25 分
在進行資料庫的資料表設計時，有時會考慮採取「反正規化」（Denormalization）的設計。請說明在什麼情況下會這麼做，並舉一個例子說明其中一個情境。
登入後即可作答並保存紀錄。
核心觀念
正規化是將資料拆分至適當的資料表，以減少資料重複，並避免新增、修改或刪除資料時發生異常。反正規化則是基於特定需求，刻意保留部分重複資料、合併資料表，或預先儲存計算結果，以換取查詢效率或使用便利。
反正規化不是任意破壞資料結構；設計時須評估效能收益與資料一致性、儲存空間及維護成本。
解題方法
作答時先說明反正規化的目的，再列出適用情境，最後以一個情境舉例，交代資料如何調整、改善了什麼，以及須承擔的代價。
常見情境包括：
- 讀取遠多於寫入：為減少查詢時的多表連接，將常用欄位複製到同一資料表。
- 查詢效能不足：經過索引與查詢調校仍無法滿足回應時間需求，且瓶頸在頻繁連接或彙總。
- 經常需要彙總或計算：預先儲存常用的加總、筆數或統計值，避免每次查詢都重新計算。
- 報表或分析需求固定且大量：建立彙總表或冗餘欄位，降低即時查詢來源資料的負擔。
- 分散式或高讀取量系統：複製常用資料，減少跨服務、跨資料庫或跨節點查詢。
採用前應先確認效能瓶頸，並規劃冗餘資料的更新方式，例如由交易流程同步更新、以觸發程序維護，或定期批次重建。
情境範例：訂單明細保存商品單價
第 三 題25 分
氛圍開發（Vibe Coding）是一種新興的 AI 協助程式開發方法，請在開發方式、技術門檻、系統開發速度、程式可維護性等層面，比較此種開發方式與傳統開發方式的差異。
登入後即可作答並保存紀錄。
核心觀念
本題比較「氛圍開發（Vibe Coding）」與傳統程式開發的差異，重點在於理解：氛圍開發以自然語言提示 AI 產生、修改程式碼，開發者主要透過描述需求、檢視結果與反覆互動來完成系統；傳統開發則由開發者直接進行需求分析、設計、撰碼與測試。兩者的主要差異可從開發方式、技術門檻、開發速度及程式可維護性分析。
解題方法
採用「流程、門檻、速度、維護」四個面向逐項比較，並補充適用情境。作答時須避免把氛圍開發寫成「不需要程式能力」或「一定比傳統開發好」；AI 可加速產生程式，但成果仍須由人確認需求、測試功能與管理風險。
比較分析
| 比較面向 | 氛圍開發（Vibe Coding） | 傳統開發方式 |
|---|---|---|
| 開發方式 | 開發者以自然語言描述功能或修改需求，由 AI 協助產生、解釋及修正程式碼，再以執行結果和測試回饋持續調整。開發者較常扮演需求引導者、結果檢查者與整合者。 | 開發者依序進行需求分析、系統設計、程式撰寫、測試與維護，透過程式語言、開發工具及正式開發流程直接建置系統。 |
| 技術門檻 | 入門門檻較低。即使程式能力有限，也能藉由提示建立原型或簡單功能；但要辨識錯誤、評估安全性、確認程式品質與處理複雜問題，仍須具備相當的技術知識。 | 入門時需具備程式語言、演算法、資料結構、系統設計及除錯等能力，學習成本通常較高；技術能力可直接運用於程式設計與問題排除。 |
| 系統開發速度 | 對需求明確、範圍有限的原型、展示程式或一般功能，AI 可快速產生初版程式碼，縮短撰碼時間。速度仍受提示品質、結果檢查、除錯、整合及後續修正影響。 | 程式碼多由開發者逐步撰寫，初期建置可能較慢； |
第 四 題25 分
滲透測試（Penetration Test）是一種常見的資訊系統安全測試方法，請說明其意義、執行階段與常見的執行方式。
登入後即可作答並保存紀錄。
核心觀念
滲透測試（Penetration Test，簡稱 Pen Test）是經系統所有人或管理者授權，由測試人員以攻擊者的角度，對資訊系統、網路或應用程式進行受控的安全測試。測試人員會嘗試利用已知弱點或組合多個弱點，確認是否能取得未授權存取、提升權限或接觸敏感資料，藉此驗證防禦措施的實際效果，並提出修補建議。
滲透測試的重點不只是列出弱點，也會驗證弱點能否被實際利用、可能造成什麼影響，以及風險如何降低。它與弱點掃描不同：弱點掃描主要自動檢查並列舉疑似弱點；滲透測試則進一步進行受控驗證。滲透測試也不等同於全面安全稽核，因為測試範圍與時間通常有限，不能據此保證系統完全安全。
解題方法
本題可依「意義—執行階段—常見方式」三部分作答。說明執行階段時，依測試工作由規劃到改善的順序敘述；說明執行方式時，則從測試者掌握資訊的程度及測試範圍分類。
一、執行階段
- 規劃與授權：確認測試目的、目標系統、範圍、時程、測試限制、聯絡窗口及緊急停止條件，取得書面授權。此階段可避免測試誤傷非目標系統或影響正式服務。
- 資訊蒐集與偵察：蒐集目標的網域、主機、網路服務、系統架構及公開資訊，建立可能的攻擊面。
- 弱點識別與分析：透過人工檢查及工具掃描，找出設定錯誤、過時元件、驗證或權限控管缺失等疑似弱點，並評估其可利用性。
- 弱點利用與滲透：在授權範圍內，以受控方式驗證弱點，確認是否能進入系統、提升權限或存取不應取得的資料。測試須控制影響，避免破壞資料或造成服務中斷。
- 影響評估與證據保存：記錄成功利用的路徑、可達權限、受影響資產及可能後果，保存足以佐證的測試紀錄。
- 復原、報告與改善驗證：清除測試過程建立的帳號、檔案或設定，恢復環境；報告弱點、風險、證據及修補建議。修補後可再測試，以確認弱點已排除。
二、常見執行方式
依測試者掌握資訊程度分類：