AI 國際趨勢

AI 代理資安風險是什麼？駭客用 AI 自動入侵、開發工具漏洞與企業防禦重點

2026-11-14・約 6 分鐘・拾光 AI 工作室編輯部

網路安全AI Agent資訊安全漏洞

寫作時間：2026-11-14。資安事件多半由廠商先揭露、尚未全部獨立驗證，細節以原始公告為準。本文不構成資安或法律建議。

AI 代理資安風險是什麼？簡單說：能自己上網、讀檔、下指令的 AI，既能被駭客拿來自動入侵別人，自己也可能被騙去做壞事，甚至在沒人惡意操控時越權亂動。

AI 代理資安風險一：駭客用 AI 代理「自動入侵」

威脅情報公司 Vulone 揭露，與中國有關、以經濟利益為動機的操作者，用開源 AI 代理框架 Cairn，在 9 月 24 日到 10 月 14 日對亞洲多國發動入侵，66 起行動中有 48 起取得某種程度的存取權，涵蓋台灣、越南、印尼與印度。一個派送器調度最多 116 個短命容器，各自跑 AI 代理；iThome 另報導 12 天約 23 萬筆事件記錄，並指立法院法律系統、法務部相關系統受影響。

這是 Vulone 單方揭露，尚待獨立驗證；歸因也偏弱，Vulone 自己表示身分不明、無證據顯示有國家背景。被點名的 Every8D 營運商互動資通也向 iThome 表示，報導的系統配置與其環境不符。

重點是：攻擊者用的多半是已知的老漏洞（如 2014 年的 Shellshock、過時系統），AI 只是讓「掃描加試錯」變得便宜又不眠不休。

AI 代理資安風險二：程式開發工具的 GitSpawn 漏洞

資安業者 Manifold Security 在 9 月公開 GitSpawn，涵蓋 Claude Code、OpenAI Codex、Cursor、Goose、Hermes Agent、Qwen Code、Grok Build 共 7 款工具、8 項問題（發布時 4 項未修）。原理：代理開啟專案時會在背景用 Git 查狀態，Git 會讀專案內 .git/config，其中 core.fsmonitor 能指定外部程式，惡意程式就以你的權限執行，可能讀到 SSH 金鑰與雲端憑證。這同樣是廠商單方揭露，尚待獨立驗證。

• 這是代理自己在背景呼叫 Git，不會經過沙箱與核准流程。
• 單純 git clone 不會帶來對方的 .git/config；攻擊者得用 ZIP、共享資料夾、USB 等方式交付含 .git 的完整專案。

修補方面，依 CSA 研究摘要，Claude Code 的 core.fsmonitor 問題在 2.1.196 修正、Goose 在 1.44.0 修正；Hermes Agent、Qwen Code 等當時未修。保持工具更新是第一件事，也可執行 git config --global core.fsmonitor false。

防禦 AI 代理資安風險：提示詞注入與越權

即使沒有人攻擊，代理也可能越權。OWASP GenAI Security Project 的第 3 季回顧（依 iThome 轉述）點出「過度代理授權」，並列了提示詞注入、惡意設定檔供應鏈攻擊與惡意 MCP 伺服器等案例。

結論很實際：用提示詞叫 AI「不要越線」不是安全機制。澳洲通訊局（ASD）參與的〈Careful adoption of agentic AI services〉指出代理會繼承大型語言模型的弱點，例如惡意提示可藏在釣魚信中；iTnews 報導 ASD 認為提示詞注入無法在模型內根治，控制要放在外層軟體，所以關鍵動作要有人工核准。

雲端安全聯盟（CSA）建議企業從範圍明確的漏洞管理導入代理，並把代理納入「非人類身分」（NHI）管理：每個代理由誰負責、能存取什麼要清楚；提高權限或可能中斷服務的操作須人工核准，且複核要看證據。

這對台灣讀者代表什麼

• 小店與一人公司：官網、NAS、路由器上的老漏洞最危險。打開自動更新、停用不用的服務。11 月微軟例行更新修補了已遭利用的 Outlook 零時差漏洞（CVE-2026-124194，可能洩漏 NTLMv2 雜湊），請盡快更新 Windows 與 Office。
• 用 AI 寫程式的人：不要用 AI 工具開啟來路不明、含 .git 的 ZIP 專案；先在隔離環境打開；工具升到最新版。
• 導入 AI 代理的中小企業：最小權限、獨立帳號、可撤銷金鑰；付款、刪除、對外寄信、改正式環境一律人工核准，並留紀錄。

6 件事檢查清單：① 工具與系統保持最新 ② 清點對外服務、關掉不用的 ③ AI 代理最小權限 ④ 金鑰集中保管、定期更換 ⑤ 高風險操作人工核准 ⑥ 保留日誌，異常時能立刻停用代理並撤銷金鑰。

更多代理權限設定，可參考Grok Bot 安全指南。

常見問題

Q：AI 代理資安風險跟一般資安風險差在哪？ A：代理會自己「做事」，一個被騙的指令或惡意設定就可能連鎖觸發檔案、帳號與網路操作，速度比人快、範圍更大。

Q：用 AI 程式工具一定會中 GitSpawn 嗎？ A：不會。必須有人把含惡意 .git/config 的完整專案交給你並讓代理開啟，且版本未修補。

Q：中小企業要先做什麼？ A：先修補已知漏洞、清點對外服務，再談導入代理。

參考來源

• CSA 研究摘要：GitSpawn（轉述 Manifold Security 研究）（Cloud Security Alliance，2026-09）
• Careful adoption of agentic AI services（澳洲 ASD／ACSC 等，2026-05）
• ASD says prompt injection in AI cannot be fixed（iTnews）
• 中國駭客利用AI代理攻擊亞洲政府機關（iThome，2026-11-09；Vulone 報告 66/48、116 容器已與 securityonline 等報導交叉核對，Vulone 原文未取得，23 萬筆僅 iThome 提及）
• 背景Git檢查成攻擊入口，GitSpawn漏洞波及7款AI程式代理（iThome，2026-09-04）
• OWASP回顧第三季AI資安事件（iThome，2026-10-14；OWASP 原文未取得）
• CSA建議企業從漏洞管理導入AI代理（iThome，2026-11-11）
• Outlook 零時差漏洞 CVE-2026-124194（iThome，2026-11-11；MSRC 公告原文未取得，編號與內容有 SOC Prime 等報導相互印證）

延伸閱讀

← 回部落格上一篇：Gemini 4 是什麼？Hydrogen、Carbon、Argon 差在哪、怎麼選 →