受限文件無須登入即可存取
南韓食品醫藥品安全處面臨檢視。國會議員李素熙表示，她的辦公室透過一項公開提供的生成式人工智慧服務，從該機關的藥品資訊系統下載2,672份臨床試驗文件，過程中無須登入、輸入密碼或入侵伺服器。
李素熙於2026年10月13日在國會保健福祉委員會稽核中提出的數據，顯示出兩種不同風險。在取得的文件中，有839份含有列為機密的企業資訊，另有2,208份含有負責提交資料人員的手機號碼。其他資訊包括姓名、電子郵件地址、評估結果，以及納入臨床試驗分析的參與者群體。
身為保健福祉委員會國民力量黨籍議員的李素熙表示，這些文件來自製藥公司、醫院、大學及研究機構提交的資料。公開網站上看似已隱藏相關資訊，但在底層檔案中仍可存取。
主管機關表示，正在調查原因，以及外洩資訊是否為實際臨床試驗結果資料。該機關首長吳瑜卿在國會稽核中表示，當天清晨已封鎖存取權限，並正檢視整體系統。
核心問題在於保密決定與技術執行之間存在落差。李素熙的辦公室表示，該機關多次拒絕國會索取臨床試驗及核准紀錄的要求，其中她的辦公室當年就提出五次申請。無法透過正式監督管道取得的文件，外部人士卻仍能下載。
據報導，取得文件的具體途徑並未公開。主管機關接獲通知並表示已阻止類似下載後，相關資訊才對外披露，因此調查重點在於外洩範圍及應對，而非提供重現此事的操作指示。
文件數量透露的資訊
2,672份文件是李素熙辦公室取得的數量，並非已確認所有可能遭存取的檔案總數。根據國會稽核相關報導，目前尚未公開釐清受影響系統的完整清單，也未確認其他使用者下載的檔案總數。
含有手機號碼的2,208份文件，約占這批文件的82.6%；含有機密企業資訊的839份，約占31.4%。兩類文件可能重疊，因此將兩者相加，不能得出受影響文件的有效總數。
這些數字計算的是文件數量，不是受影響的人數或公司數。一個人的聯絡資料可能出現在多份文件中，一份文件也可能包含多人的資訊，因此個人資料外洩人數仍不明。
李素熙辦公室指出，文件內容不只有聯絡資訊。據稱，文件還包括藥品療效及嚴重不良反應的研究結果。在檢視的檔案中，也發現評估結果及分析族群相關資訊。分析族群是指在特定計算中納入資料的試驗參與者群體，例如用於評估療效或安全性的計算。
雖然這起事件發生前，曾另有報導指出部分國立大學醫院的病患及員工資訊外洩，但目前沒有證據顯示兩者在技術上有所關聯。也沒有證據顯示這起事件涉及可識別身分的試驗參與者紀錄。此處明確提及的個人資料，涉及員工及提交資料的聯絡人。
人工智慧做了什麼，還有哪些未知
李素熙在稽核中指出，辦公室使用ChatGPT從名為「醫藥品安全韓國」（Uiyakpum Safety Korea）的藥品資訊平台取得檔案。其他說法則較籠統地稱使用了生成式人工智慧。根據她的說法，下載檔案無須驗證身分，也不涉及駭入系統。
生成式人工智慧可以協助使用者與資訊服務互動，但它的介入並不能證明系統的安全控制遭到破解。相關說法反而指出，儘管網站將檔案列為受限，使用者仍可取得檔案。將資訊從網頁的可見畫面隱藏，與阻止他人存取包含該資訊的文件，並非一回事。
確切的技術故障原因尚未查明。主管機關尚未公開說明問題是否出在文件權限、檔案傳送方式，或服務的其他部分。因此，現在就將某項特定軟體缺陷指為已確認的原因，仍嫌過早。
李素熙警告，外國競爭對手或駭客組織可能取得相關資料，談的是外洩可能波及的範圍，並非證據顯示這些對象確實下載了資料。要確認誰曾存取檔案，必須檢視系統紀錄。
通報與封鎖時間說法不一
國會質詢顯示，李素熙所稱辦公室通知主管機關的時間，與主管機關首長所稱自己得知事件的時間有所落差。10月13日稽核中提及的時間順序如下：
- 2026年10月11日：李素熙表示，她的辦公室透過索取資料的方式通知主管機關，但未獲實質回應。
- 10月12日：吳瑜卿表示，主管機關當天得知資料外洩，並提到當晚曾召開會議，也指示儘快聯絡李素熙辦公室。
- 10月13日清晨：吳瑜卿表示，主管機關已封鎖存取權限。
- 10月13日：李素熙在國會稽核中提出文件數量，並要求主管機關以書面說明應對情形。
10月13日刊出的報導指出，主管機關表示已阻止類似下載後，相關資訊才對外披露。這個時間順序支持主管機關所稱封鎖措施先於報導刊出，但無法獨立證明措施是否全面有效。
李素熙要求主管機關在稽核結束前，以書面提供確切的通報、掌握情況及封鎖時間。這些時間點很重要，因為它們能釐清主管機關收到警告後，存取權限又持續開放了多久，以及警告是否及時轉達給負責系統的人員。
國會監督權與公益例外
這起資安事件也使外界更加關注主管機關如何運用保密規定。李素熙表示，過去十年間，主管機關一直拒絕向國會提供臨床試驗、許可及審查文件；2026年她的辦公室提出的五次申請遭拒，企業反對是拒絕理由之一。
稽核中提出一份更具體的統計，涉及十年間共96件資訊公開案件。李素熙表示，其中95件仍列為機密，唯一公開的一件是應公司要求提供，而非主管機關自行判斷基於公共利益有必要公開。
這項區別有助於解釋，為何「從未公開任何紀錄」的概括說法，與僅有一件文件公開的統計並不相同。稽核數據顯示，列出的案件中有一件資料曾公開，但沒有任何案件是基於公共利益考量而公開。這些數字並未說明主管機關持有的所有紀錄各自處於何種狀態。
李素熙主張，《藥事法》允許在公共利益有需要時公開資訊，但這項例外實際上從未運用。爭議涉及藥品不良反應及醫療事故紀錄，也包括國會議員索取的疫苗與治療許可及審查資料。
被問及主管機關是否有內部文件記錄其在爭議公開決定中，如何衡量商業機密與公共利益時，吳瑜卿表示沒有這類文件。這使相關決策的依據難以檢視，但單憑這一回答，並不能證明主管機關完全未曾考量。
Genencell案為何成為辯論焦點
李素熙質疑主管機關時，Genencell相關資料是焦點之一。據報導，該公司創辦人因提交不實資訊，或遺漏關鍵細節的資訊，以取得COVID-19治療藥物臨床試驗核准，在上訴審被判處四年徒刑。
李素熙明確區分這項定罪與「主管機關核准本身有不當之處」的認定。她表示，索取資料是為了檢視主管機關如何審查申請、要求補充哪些資訊，以及作出決定的依據為何。
李素熙表示，主管機關以商業機密為由，拒絕提供所要求的Genencell審查資料。與外部人士能存取相關文件一事相比，這項拒絕更具爭議：主管機關一方面維護正式公開程序中的限制，另一方面卻面臨技術防護未能確實落實保密的證據。
不過，上訴審定罪與外洩調查探討的是不同問題。定罪涉及臨床試驗申請相關行為；資安調查則關乎如何存取主管機關系統中的文件。兩者都無法證明另一方的結論，下載文件與所要求的Genencell紀錄之間確切有何關係，也未獲說明。
主管機關應對受檢視
李素熙也質疑主管機關在接獲通報後的溝通方式。她表示，機關官員多次聯絡一名記者，詢問存取方式，並以可能損害國家利益為由要求延後刊出報導，卻未及時向她的辦公室查明事實。
主管機關對此提出不同說法。吳瑜卿表示，要求延後刊出，是為了確保封鎖措施已經到位，避免問題公開後造成進一步外洩。她承認，主管機關原本應及時聯絡李素熙辦公室，並為說明不足致歉。
吳瑜卿表示，前一晚的會議已指示儘快前往李素熙辦公室，即使時間很晚也要前往；她也了解，國會聯絡人曾多次前往拜會。這些聯繫的確切時間順序，仍是李素熙要求書面說明的內容之一。
另一段質詢談到下載資料應如何處理。李素熙詢問吳瑜卿能否公開這些檔案，吳瑜卿回答，檔案似乎應予銷毀。李素熙澄清，她並非提議公開資料，而是要問，既然資訊如此敏感，為何主管機關沒有更快聯絡持有檔案的辦公室。
這段對話凸顯兩項責任：限制機密及個人資訊進一步流傳，以及保存查明事件所需的證據。李素熙另要求立即保存系統紀錄；這些紀錄可用來確認存取情況，無須擴大公開檔案本身。
調查必須釐清的事項
李素熙要求全面檢視伺服器存取紀錄，確認誰下載了文件、外洩何時開始，以及主管機關為何未能察覺。她也要求調查其他系統是否存在類似弱點。
存取紀錄有助於確認檔案何時遭請求，以及下載範圍有多大。但若無須登入，紀錄未必能確認每次請求背後的使用者身分。要提出足以採信的調查說明，必須區分紀錄中的請求、實際完成的下載，以及調查人員確實能查證的身分。
主管機關仍須確認外洩紀錄的性質、找出原因，並釐清受影響資訊的完整範圍。國會稽核中並未公布經確認的外洩起始日期、外部接收者人數，或資料遭進一步不當使用的調查結果。
李素熙要求主管機關在國會稽核結束前提交書面報告，說明封鎖存取的措施、最初掌握問題的時間、實際封鎖時間，以及與媒體的聯繫情形。相關報導未提供完整技術調查結果預計公布的後續日期。
此案涉及兩項不同的問責考驗：機密紀錄須有有效的存取保護，而拒絕正當監督要求的決定也須有可供檢視的依據。阻止據報的下載方式，可以處理眼前的外洩途徑，但無法釐清這個漏洞存在多久，也無法解決資訊公開決策的爭議。
重點整理
- 李素熙表示，她的辦公室使用ChatGPT，在無須登入或輸入密碼的情況下取得2,672份臨床試驗文件。
- 其中839份含有機密企業資訊，2,208份含有員工手機號碼。兩類文件可能重疊。
- 主管機關表示，已於2026年10月13日清晨封鎖存取權限，並正調查原因及外洩資訊的性質。
- 李素熙表示，她的辦公室於10月11日通知主管機關；吳瑜卿首長則表示，主管機關於10月12日得知事件。
- 稽核中引用的一份十年資訊公開案件清單共有96件，其中95件仍列為機密，另有一件應公司要求公開。
- 外洩期間、外部接收者人數及資料是否遭不當使用，仍未確認。李素熙要求保存紀錄並全面檢視存取情況。
