新聞

如果駭客攻擊可以同時派出多個AI Agent分頭行動，進行目標偵察、攻擊路徑分析，還能研究新的攻擊方法、自動修正錯誤判斷，並且持續動態調整攻擊策略，這樣的駭客攻擊行動，還能只稱為自動化攻擊嗎？

2026年7月初，就發生了這麼一場針對臺灣政府機關的網路攻擊。雖然攻擊行動不到4天，但它明確顯示AI自主攻擊已經不再只是概念驗證，而開始進入真實世界的網路攻擊行動，成為現在進行式。

這起事件的曝光，是資安公司Dream Security在8月12日揭露一份AI自主攻擊行動的完整工作資料，他們從1,395個工作檔案還原出一場為期約4天、歷經12波攻擊行動的AI網攻事件，並且首度披露單一波攻擊行動部署多達8個AI Agent同時執行任務，最終破解85組政府人員帳密，取得至少2,564筆人員資料，而且還將攻擊行動範圍擴大到與政府機關有關的資訊供應商、核能安全機構及能源業者。

Dream Security將這場行動描述為近自主式攻擊（near-autonomous），在報告中指出駭客所使用的AI攻擊系統建立在Hermes與OpenClaw 等AI Agent架構。至於攻擊者來自何方？他們僅能依據攻擊系統的內部報告使用簡體中文語言，而針對攻擊目標的內容分析則使用繁體中文，推斷攻擊者為中文使用者，但未能明確指出攻擊者與受害國家的身分。

在這份報告揭露的隔天，數位發展部對外證實政府資安監控單位在7月偵測到異常網路攻擊，發現境外駭客結合Open Claw等AI Agent進行混合攻擊。另一方面，英國《金融時報》則引述知情消息來源，直指這起AI網攻事件的受害國家正是臺灣。

境外對臺灣的網路攻擊可說是天天都在發生的事，所以就這起攻擊事件表面上所揭露的數據來看，很容易讓人以為不過又是一起政府機關遭駭事件，但如果細看攻擊過程，就會發現事態完全不同了。
這次不只是有人在幕後利用AI協助寫程式、分析漏洞或操作工具，攻擊者甚至已經把多個Agent組織成一套具有接近自主運作能力的攻擊系統，讓AI參與環境偵察、漏洞分析、帳密破解、攻擊評估、方法研究、結果驗證與錯誤修正，而且還能把每一次的攻擊成果回饋到下一波攻擊。也就是說，AI正在從駭客手邊的輔助工具，逐漸變身為自主行動的攻擊手。

回想十多年前，資安公司Mandiant在2013年發布的APT1調查報告，藉由揭露一個與中國人民解放軍相關且長期從事大規模網路間諜活動的駭客組織，詳細分析其攻擊基礎設施、惡意程式、攻擊手法與受害者，首度讓國家級APT網軍攻擊具體地進入全球公眾的視野。

今天，Dream Security這次揭露的事件，也可能成為另一個值得記住的時間點。它讓外界罕見地如此完整看見，AI Agent如何被組織成一支可以平行作戰、持續學習、自行驗證並動態調整策略的自主攻擊團隊。它也敲響了新一代資安威脅的警鐘：當AI已經可以自己執行一場網路攻擊，這樣的攻擊到底是怎麼進行？攻擊方法發生了什麼轉變？而未來的資安防禦，又必須跟著改變什麼？

從一個入口網站出發，AI逐步畫出政府資訊體系

Dream Security將這起事件的攻擊鏈分成6個階段：目標偵察、獲取SDK、初始入侵、橫向移動、竊取資料及供應鏈拓展。

第一階段和傳統的網路攻擊沒有太大不同，先從偵察（Reconnaissance）開始，只是這次有AI Agent一起參與偵察工作。攻擊行動先從一個以Angular開發的政府單一帳號登入（Single Sign-On，SSO）入口網站開始，Agent下載並分析網站的JavaScript打包工具檔，從編譯過的程式碼中取得URL、API端點、OAuth用戶端名稱以及該網站所使用的身分驗證與存取管理平臺Keycloak的設定資訊。

接下來這套AI攻擊系統沿著取得的線索繼續探索，最後辨識出21套彼此連接的政府資訊系統，並描繪出SSO的完整架構，包括6個子領域（Sub-realm）、所有OpenID Connect（OIDC）端點、2把RSA簽章金鑰以及身分驗證的流程。

在其中一套系統上，它甚至找到超過36個API端點，涵蓋帳號管理、使用者資料、檔案上傳與管理功能，而且其中許多完全沒有身分驗證，有一個API甚至直接暴露使用者資料庫，洩漏數千名員工的姓名、部門與SSO用戶帳號。

從這些行為來看，這套AI攻擊系統在偵察階段所做的不只是找出更多漏洞，更藉由持續探索與追蹤資訊之間的關係，建立整個目標環境的攻擊面與信任關係圖。

Agent自己找到開發文件，再用LLM分析程式碼

在攻擊鏈第二階段，更能看出Agent自主性和傳統攻擊自動化的差異。

Agent在反解譯JavaScript程式碼後取得一個網址，循線找到以GitBook建置的SSO系統開發整合文件。它利用GitBook提供的llms.txt頁面索引與.md原始內容等機制，系統化取得相關文件，再從中找到下載連結，取得Java Spring Boot與ASP.NET Core 8.0兩套SDK整合程式範例。

接著，這套攻擊系統利用稱為「Local-LLM-SAST-0day」的方法，讓LLM對SDK範例進行靜態程式碼分析，希望挖掘新的攻擊入口。最後，它也找到包括Open Redirect、CSRF停用、redirect URI未驗證等潛在問題，但是後續並沒有成功利用這些問題來攻破系統。Dream Security最後交叉比對確認，真正造成入侵的弱點反而來自伺服器端，例如後門端點、JWT驗證缺陷與未驗證API。

然而，這個看似失敗的過程，反而凸顯AI自主攻擊的重要特性：失敗的成本變得很低。如果一名資深攻擊者要花上數小時閱讀文件、下載SDK、分析程式碼，最後卻沒有找到可利用的弱點，其所投入的專業人力與時間成本絕對遠高於AI Agent。

而在AI Agent架構下，AI不需要預期每一次探索都會成功才投入測試，倘若一條攻擊路徑測試後沒有顯著效果，就直接降低優先度，立刻轉移算力與工作目標。因此，一旦試錯的邊際成本降得足夠低，大量試錯本身反成為一種競爭優勢，而這將改變整場攻防的經濟學。

多個Agent平行找突破口，取得帳號後立即破解密碼

完成目標偵察與資訊蒐集之後，AI攻擊系統的下一個目標就是找出真正能進入系統的方法。

Dream Security發現，這套AI攻擊系統會同時探索多重破口。首先，Agent在其中一個政府Web應用程式中發現了3個隱藏API端點，而且這些端點沒有採取相關驗證保護，因此，只要對API送出任意請求，無需正確帳號密碼，也能取得有效的已驗證Session。Dream Security研判，這些應該是開發期間用來除錯的API端點，可能在系統上線後忘了移除，而成為正式環境對外曝露的破口。

AI攻擊系統同步展開的另一條攻擊路徑，則是從弱密碼的問題下手。利用先前發現的API問題，在成功取得政府員工帳號後，AI攻擊系統開始對辦公自動化入口網站以密碼噴灑（Password Spraying）的手法，猜測這些帳號的密碼，所採用的方法也並不新奇，就是根據員工ID與帳號名稱，逐一猜測一般常見的弱密碼模式，例如改變大小寫或加入常見特殊符號等。就這樣在第一輪測試中就成功破解12組帳密，後來又以這些可行的方法擴大測試，最後又再成功破解了73組帳密。

除了破解密碼，一般網站常見的CAPTCHA人機驗證防護機制也難不倒這個AI攻擊系統，Agent直接就呼叫Tesseract OCR工具，辨識驗證碼圖片，而且辨識成功率達到100%，可見CAPTCHA驗證的有效防護強度面對AI辨識已大幅下降。

另外，其中有一套政府API還存在JWT（JSON Web Token）簽章驗證設定不當問題，程式開發者不慎將其設定為可接受alg=none的未簽章Token，亦即無需數位簽章演算法的驗證，因此攻擊者可以在不知道簽章金鑰的情況下偽造身分Token。

在尋找系統漏洞的階段，很明顯地AI攻擊系統所利用的都是資安界早就熟悉的問題，而與過往不同的是，透過Agent可以很快地把不同手法組合、測試，再把成功的結果立即變成下一步輸入，讓攻擊效果變得更有威力。
利用破解帳密橫向移動，沿著SSO信任關係擴大攻擊

在取得85組帳密之後，AI攻擊系統就開始以這些憑證，有系統地登入其他與Single Sign-On系統相連結的政府機關系統。結果這85組帳號中，就有84組可以成功登入另一套內部資訊系統，成功率高達98.8%。此舉也讓AI攻擊系統成功取得政府機關系統的內部儀表板、設備管理介面與人事統計頁面的存取權。

為何在破解帳密之後，攻擊行動就能順利地往橫行移動，成功入侵其他系統，最關鍵的原因就在於這些系統直接信任上層單一登入平臺的身分驗證結果，而未就這些登入要求再一次的身分驗證或多因素驗證。因此，原本一個看似不太嚴重的弱密碼問題，再結合SSO的信任關係之後，便成為跨系統橫向移動的關鍵跳板。

根據Dream Security的調查，AI攻擊系統在成功打入政府資訊系統後並未就此罷手，後續還把偵察與攻擊活動往外擴及政府機關的資訊供應商、核能安全機構、政府電子郵件系統廠商及7家以上能源業者，尋找這些組織的系統錯誤設定、外曝管理介面有無可利用的弱點。

因此，我們必須開始思考，一旦Agent取得有效的身分驗證，一路進攻能夠打到多遠，受波及的系統範疇可能會多大？系統賴以維運的信任關係，究竟可以讓攻擊走到多遠？

不過，AI攻擊也不是所向無敵。這套AI攻擊系統曾發現一個設定不當的API，而且也成功利用其未限制檔案上傳的漏洞，把Web Shell傳到伺服器上，但最後這條攻擊路徑卻沒有成功，因為該系統有第二道表單驗證（Forms Authentication），而把攻擊阻擋下來了。這也再次顯示，即使AI攻擊系統有其厲害之處，不過藉由多層次的防護措施，還是能夠有效阻擋攻擊行動。

建立在貝氏大腦的攻擊決策機制

這套AI攻擊系統之所以能稱為近自主性攻擊，就是Agent能夠自主決策，而非依靠人類攻擊者來判斷，而要達到Agent能夠自主決策的重要關鍵，這套系是利用貝氏後驗機率（Bayesian posterior probability）來評估各個可利用的漏洞，計算出每一條攻擊鏈的成功機率，以數值做為Agent的決策依據。

這個攻擊決策機制可以看成是一個有兩層計算機制的貝氏決策大腦。第一層是針對個別弱點給予評分，對於每個新發現的弱點，最初都賦予初始機率值P=0.50，再根據驗證結果調整可信度，例如以自動掃描工具測試後確認該漏點可以利用，或是已由人類攻擊者手動進行curl確認，都能夠提高後驗機率，而如果發現攻擊路徑上WAF防火牆或其他會阻礙攻擊的因素，就降低後驗機率。

在這套系統的設計機制中，若弱點可利用的機率值P計算出來大於0.95，就正式納入攻擊鏈使用；若大於0.7，則投入更多資源去測試可利用性；若攻擊機率值大於0.5，但暫無足夠的證據支撐，則排入下一波的評估；而機率值低於0.3的弱點則直接放棄，不再浪費任何資源。

這個攻擊決策機制的第二層則是評估整條攻擊鏈的成功率，AI攻擊系統把已確認的弱點組成多步驟的攻擊路徑，並且計算每一條攻擊鏈的成功率。

以上述透過SSO系統進行橫向移動的攻擊為例，雖然AI攻擊系統先前已取得85組帳號與密碼，確定其可用於登入目標網站，同時也偵測到目標網站處於連線狀態，理論上已可成功入侵，但AI攻擊系統對於這條攻擊鏈成功率的評估卻是99%，並非百分之分完全可靠，因為終究不能排除目標網站隨時有斷線的可能性。而根據最後攻擊行動執行的結果，84組帳號都能成功登入，換算成功率為98.8%，與99%相去不遠。

有了攻擊鏈成功率的評估機制，AI攻擊系統就可以透過數值判斷，而達到與人類駭客雷同的決策能力，得以自主評估哪一條攻擊鏈值得繼續進行、還要投入哪些資源、又或是已不具價值而要斷然放棄。也就是說，有了貝氏決策大腦後，連攻擊判斷與資源配置也都逐步機器化了。

當攻擊失敗，AI會自己研究下一招

這套AI攻擊系統還設計了所謂學習週期（Learning Cycles），遇到現有攻擊方式無法突破時，系統不只是停下來等待人類提供下一個指令，而會自主搜尋漏洞資料庫、GitHub儲存庫與相關資安研究資料，尋找針對目標環境的有效方法。

Dream Security發現學習週期可多達5次循環，每一輪的研究方向並非漫無目的搜尋，而是依照既定的架構去蒐集與整理知識，包括目標政府機關所使用的產品與技術架構、政府機關使用的特定產品過去有哪些漏洞揭露、有哪些政府系統曾出現類似弱點、目前防禦條件下哪種技術成功率比較高以及實作的優先順序，再將學習成果匯整至下一輪使用。

這樣的作法等於讓Agent學習過往人類紅隊工程師熟悉的流程，在攻擊方法無效後，進一步查找資料，尋找實證過的攻擊手法，據以修正攻擊方法，再進行一次攻擊測試。

除此之外，這套AI攻擊系統更難纏的是它能發現自己的錯誤，其中一個典型的例子對盲目SQL注入攻擊的誤判。

根據調查所掌握到的記錄，有一個Agent對註冊表單API的匿稱欄位進行SQL注入測試時，發現伺服器延遲了21秒回應，遂判斷可能成功執行SLEEP語法的注入攻擊。不過由於這套AI攻擊系統具有交叉驗證的設計，對於新發現的弱點要交由其他三個Agent進行兩輪的測試，才能納為攻擊行動所用。也因此，這次的發現在進一步測試後，發現網頁延遲回應21秒根本不是SQL在執行SLEEP，而是伺服器發生SMTP timeout所導致，因此這個原本以為可利用的弱點就被永久排除了。

最後，在整個攻擊週期的12波行動中，這套系統記錄了7項自己發現又自己推翻的誤判情形。

所以，當Agent不僅會使用工具，也能夠判斷有效的弱點與攻擊路徑，同時在策略失敗時會自主學習，甚至還有自我交叉驗證能力，以避免多走冤枉路，這套AI攻擊系統就已經不再只是利用機器做更多事，而是讓自動化攻擊開始更接近自主化攻擊。

由上述的攻擊流程亦可見，這起AI網攻所利用的弱點、漏洞與攻擊方法其實並不新，但是把攻擊手從人類換成機器，賦予機器自主辨斷機制，讓攻擊流程的循環速度夠快，即使只是把已知的攻擊手法組合在一起，攻擊的性質就會開始改變，而這正是AI自主攻擊的典範轉移的所在。

攻防典範轉移一：從使用AI輔助走向管理AI攻擊團隊

這幾年隨著生成式AI的興盛，駭客也充分利用AI帶來的優勢。資安研究人員一開始發現駭客利用生成式AI撰寫更逼真的釣魚郵件、加速漏洞分析、程式碼撰寫與惡意程式開發。

而隨著新一波AI Agent的興起，駭客就不再只是把AI當成輔助工具，而是利用Agent的自動化特性，將原本執行大量偵察、測試、驗證與研究的工作，交由不同Agent負責，讓Agent成為第一線的攻擊手，而人類攻擊者的角色則轉變為任務設定與行動指揮。

在這起AI網攻事件中，攻擊系統單一波最多可部署8個Agent同時工作，形同一支能夠同時分進合擊的虛擬攻擊團隊。換句話說，未來人類攻擊者不再只是管理漏洞掃描或惡意程式庫等工具，而是管理一支能夠自行閱讀文件、研究弱點、驗證結果、調整策略的AI攻擊團隊。這代表整個攻擊組織的工作模式得以軟體化，所謂的「軟體定義攻擊團隊」雛形已經出現。

攻防典範轉移二：從自動化走向自主化

這起事件也代表網路攻擊正在從自動化（Automation），進一步走向自主化（Autonomy）。

所謂自動化，是由人決定流程，再交由機器執行流程。例如在攻擊Active Directory的任務中，攻擊者可以事先把常見的漏洞利用、帳密測試與橫向移動方法寫進程式，再由工具按照預設腳本逐步執行。如果中間遇到錯誤，通常仍需要人類根據結果重新調整參數、修改工具，再重新執行。自主化則不同。自主化是由人設定目標與約束條件，再由AI系統自行選擇達成目標的路徑。

從Dream Security揭露的這套AI攻擊系統來看，Agent會自己探索攻擊面、自己查資料、自己調整攻擊優先順序、自己重新測試，遇到原有方法受阻時，還會啟動Learning Cycles搜尋新的技術資源；如果發現先前判斷錯誤，也會自行重新驗證並排除誤判，再把成果回饋到下一波攻擊。

這也是為什麼這起事件值得關注的不只是自動化程度提高，而是部分原本必須由人類攻擊者完成的判斷與決策，也開始被AI接手。不過需要特別注意的是，Dream Security在報告中將這起攻擊描述為近自主化（near-autonomous），而不是完全不需要人類介入的全自主攻擊。

攻防典範轉移三：從一人多工走向多Agent平行作戰

在過往以人類為主導的攻擊模式下，技巧高超的駭客可以同時執行多項工作。例如在螢幕前同時執行掃描工具、查看Log、研究漏洞、修改程式碼、測試帳密，再根據結果快速切換到下一項工作。

這種模式很像一位經驗豐富的廚師，一個人同時顧著飯鍋、湯鍋與煎鍋。看起來有很多工作同時在進行，但廚師的注意力仍然有限，在同一個當下，真正能深入思考與處理的事情仍然只有少數幾項。因此，即使人類駭客再厲害，要同時深入研究多套系統、維持多條攻擊路徑，仍然會遇到認知、注意力、時間與生理上的瓶頸。

Agent則改變了這個限制。這套AI攻擊系統單一波最多可同時部署8個Agent，在整場行動中則同時維持14條攻擊鏈。每個Agent可以分頭進行偵察、API分析、帳密攻擊、弱點驗證或研究新方法。這就像一位主廚突然擁有8名副廚與助手，而且每一位都不只是分擔一部分工作，而是能夠自己閱讀食譜、判斷火候、測試味道、調整做法，再把結果回報給主廚。

所以，雖然攻擊者手上的工具可以同時運行，但攻擊者的認知可能無法平行運作，得先嘗試A，失敗後再試B，再試C；然而Agent機制不受這樣的限制，可以同時進行推理、研究與調整能力等工作，這就會讓攻擊者能同時探索更大的攻擊空間。對於仍然高度依賴系統告警逐案處理的防守方而言，這將形成極為不對稱的競爭局勢。

攻防典範轉移四：大量試錯成本降低，翻轉攻擊經濟學

AI網攻帶來的改變，還包括攻擊經濟學。

過往要發動高階攻擊行動，往往需要技巧高超的駭客投入大量時間進行偵察、研究、測試與調整，而高階駭客本身就是稀缺資源，因此攻擊的時間與人力成本都很高。Dream Security在報告中直指，執行一場具備相當能力的攻擊，其成本已經大幅下降，但防守同等攻擊的成本並沒有同步降低。

進一步從這套框架的運作方式來看，其中一個重要原因，就是失敗的成本正在下降。Agent分析SDK而沒有找到可利用漏洞，就直接放棄；以為是可被利用的SQL Injection最後驗證是誤判，就排除不再考慮；Web Shell雖然可以成功上傳，但無法順利執行，就先降低這條攻擊路徑的優先等級。

當攻擊行動是架構在軟體定義攻擊團隊的模式下，攻擊者不求每一次嘗試都成功，只要讓每一次失敗的算力成本足夠低，就可以利用AI擅於大量試錯的優勢，探索最大量的可能性，這個模式的改變就足以翻轉攻擊經濟學。

當攻擊者可以用較低成本同時測試更多目標、更多弱點與更多攻擊路徑，防守方卻仍然必須依賴人力逐案判斷、調查與修補，攻防之間的成本結構就會開始失衡。這也可能是AI自主網攻最核心的不對稱問題之一。

攻防典範轉移五：過去被容忍的資安債，一夕變成可利用的攻擊面

從這起事件來看，真正造成入侵的關鍵並不是AI挖掘出零時差漏洞。恰恰相反的是，攻擊成功利用的弱點主要來自大家早已熟悉的資安問題。例如未經身分驗證的API、正式環境遺留除錯用API、設定不當的JWT驗證、過度信任單一驗證、脆弱的密碼組態，以及沒有妥善限制的檔案上傳機制。

這些甚至可以說都是資安產業講了十幾年的老問題，然而既然這些問題長期存在，為什麼許多組織過去仍然可以帶著這些資安債繼續運作？其中一個原因，在於傳統攻擊經濟學下，人類攻擊者的時間、注意力與能力有限。因而很多組織雖然知道內部存在一些資安債，卻常常抱持一種沒有明講的假設：「茫茫網海、這麼多系統，攻擊者未必會發現吧？」「這套系統很偏僻，應該不會被找到吧？」「我們又不是知名公司或機敏機關，應該輪不到我們被那些技巧高超的國家網軍級駭客盯上吧？」

這些假設都建立在人類攻擊者資源有限的前提上，但Agent最擅長做的，恰恰就是不厭其煩地搜尋、比對、測試與串聯。它可以把大量看似不起眼的系統全部掃描一遍，把分散在不同位置的資訊重新串起來，把一個漏未驗證的API、一個採用弱密碼的帳號、一個直接繼承SSO信任關係未再驗證等獨立的問題，逐步拼成完整可行的攻擊路徑，發揮出形同國家級網軍等級的威脅。

因此，AI帶來的風險未必只是找出更多新的漏洞，它讓更多原本躲在角落、長期沒有被利用的既有弱點，更容易被發現、被驗證、被串接，反而是更需要被重視的風險。AI攻擊的可怕不再於它一定要找出多麼了不起的漏洞，光是它會讓更多原本被容忍的攻擊面，快速被組合成可以走得通的攻擊路徑，那麼過去還能被容認的資安債，在AI網攻時代可能必須重新看待。

正視AI時代放大的攻防不對稱

Dream Security揭露的這起事件，或許還不能代表未來AI網攻的最終模樣，但它至少提前揭露了一件事：當攻擊團隊開始被軟體化，駭客可以利用Agent放大攻擊規模、速度、與試錯能力，過去建立在人類對人類的攻防平衡，就會開始鬆動。

十多年前的APT攻擊事件讓我們開始理解，網路攻擊可是是一場長期、有組織、有資源投入的持續性威脅；今天，這起AI網攻事件讓我們必須開始正視，如果攻擊團隊開始以機器般速度自主學習、判斷與行動，那麼防禦端還能不能繼續以今天的速度與方法工作？

AI自主網攻真正掀起的典範轉移，可能並不只是攻擊技術本身，而是整個攻防競爭的速度、規模與成本結構，都正在被重新定義。而這場AI攻防經濟學的變革，才剛開始。