無人機廠商Quantum Systems遭網路攻擊，德國聯邦國防軍停飛

德國聯邦國防軍（Bundeswehr）在巴伐利亞國防科技企業Quantum Systems遭遇網路攻擊後，據稱已基於預防考量暫停使用該公司的無人機。這項消息來自Golem.de，該媒體引述《金融時報》的報導，而《金融時報》又引用知情人士的說法。此事顯示，當攻擊目標不是飛行器本身而是其周邊軟體時，即使是最先進的無人機系統也同樣脆弱。

Quantum Systems究竟發生了什麼事？

根據德新社旗下財經新聞服務dpa-AFX報導，Quantum Systems表示，2026年10月底發現了一起「資安事件」。該公司稱，立即展開的內部調查查明這是敵對方發動的一次主動網路攻擊。Golem.de轉述了相同的說法：事件在10月底前後被發現，資訊與安全團隊已與主管機關合作遏止了威脅。

這家總部位於慕尼黑近郊吉爾興（Gilching）的公司表示，已向有關當局通報此事，目前仍在調查中。根據dpa-AFX報導，Quantum Systems還表示，鑑於已採取的措施與事件的性質，終端使用者和操作人員使用這些系統並無風險。在柏林，國防部被詢問時未對該媒體報導置評。

惡意程式碼是如何送到客戶手中的？

根據Golem.de轉述的一位知情人士說法，Quantum Systems告知客戶，有一個惡意更新檔案曾透過某台伺服器散布。該伺服器負責發送QBase的更新，QBase是該廠商的地面控制與任務規劃軟體。地面控制軟體是操作人員在地面操控無人機並規劃任務所使用的程式。

這種模式稱為供應鏈攻擊：攻擊者並不直接把惡意程式碼植入最終客戶，而是植入客戶所信任的管道，這裡就是廠商的更新伺服器。被竄改的檔案是否真的安裝到客戶端、影響到什麼程度，我們所讀到的來源都沒有說明。根據Golem.de，這次干擾對各個客戶的影響目前尚不清楚。

這對聯邦國防軍意味著什麼？

根據《金融時報》（經Golem.de轉引）的報導，這項舉措似乎也導致Quantum Systems無法參加最近的一場軍事演習。Quantum Systems生產Vector偵察無人機，並向多個歐洲國家的武裝力量供貨，其中包括德國、西班牙和荷蘭的陸軍。我們所讀到的來源並未顯示西班牙和荷蘭軍隊是否也暫停使用其無人機。

如同dpa-AFX所寫，國防部並未證實該報導。因此，Golem.de報導中的「據稱」二字應當認真看待：暫停使用一事所依據的是《金融時報》的匿名消息來源，而不是官方公告。

攻擊背後是誰？

這一點尚無定論。Golem.de寫道，目前沒有公開證據顯示此次攻擊與俄羅斯或任何其他國家、組織有關。不過，德國聯邦憲法保衛局（Verfassungsschutz）曾在7月警告，俄羅斯針對德國國防領域的活動風險升高，包括網路攻擊、間諜活動與破壞行動。根據Golem.de，這項警告特別針對支持烏克蘭的企業。

Quantum Systems正是這樣的企業：根據Golem.de，它在烏克蘭僱有200多名員工，並與烏克蘭公司共同經營三家合資企業。這些合作生產小型攻擊無人機、攔截無人機和無人地面載具。根據dpa-AFX報導，烏克蘭武裝力量在對俄防禦戰爭中使用Quantum的無人機。

Quantum Systems是一家什麼樣的公司？

Golem.de將Quantum Systems列為歐洲估值最高的國防新創公司之一；據報導，在今年年初的一輪募資中，其估值為70億歐元。根據dpa-AFX報導，該公司生產軍民兩用的無人機，迄今以偵察和監視為重點；水面與水下無人機正在研發中。

根據dpa-AFX報導，其較新的產品包括無人偵察系統「Reliant」。它可以對大片區域連續監視超過十小時，垂直起降，並配備機載人工智慧。另一個研發重點是無人系統控制軟體「Mosaic」。對於具備人工智慧功能的無人機來說，系統的價值在很大程度上取決於不斷更新的軟體。

重點一覽

• 發現時間：2026年10月底，根據Quantum Systems的說法是敵對方的一次主動攻擊（dpa-AFX、Golem.de）。
• 攻擊途徑：透過QBase軟體的伺服器散布的惡意更新檔案（Golem.de）。
• 因應：聯邦國防軍據稱基於預防考量停用無人機（《金融時報》經Golem.de轉引）；國防部不予置評（dpa-AFX）。
• 幕後黑手：不明，沒有公開證據顯示與俄羅斯有關（Golem.de）。
• 對客戶的影響：根據Golem.de尚不清楚；根據Quantum Systems終端使用者無風險（dpa-AFX）。

這對臺灣企業意味著什麼？

對於使用或製造無人機、機器人或人工智慧系統的臺灣企業而言，這起事件提醒我們，應把更新鏈路本身當作一條獨立的攻擊路徑來看待。實務做法包括：只透過簽章管道取得廠商更新，在上線前先於測試環境中驗證，並事先明訂一旦供應商發生資安事件，由誰來決定是否基於預防考量讓設備停止運作。為國防或關鍵基礎設施供貨的企業，也應認真看待德國憲法保衛局的警告，並提前釐清向主管機關通報的管道。