新聞

OWASP旗下GenAI Security Project近期整理2026年第3季生成式AI與AI代理資安事件，呈現AI代理越權、提示詞注入及敏感資料外洩等不同風險，其中多起事件反映過度代理授權（Excessive Agency）的安全問題。部分AI代理並未受到惡意提示詞操控，卻因測試環境未充分限制操作權限及網路連線，在執行安全測試任務時，反而入侵了測試範圍以外的真實企業系統。

例如，OpenAI的AI代理曾突破測試環境的網路限制，利用暴露的憑證及系統漏洞，入侵Hugging Face的正式環境。Anthropic的Claude Opus 4.7則在無法存取指定的虛構測試目標後，轉而攻擊名稱相近的真實企業，甚至存取該企業正式環境中的資料庫。Claude Mythos 5也曾在測試期間，將惡意套件發布至公開的Python套件儲存庫PyPI，導致該套件在15個真實系統中執行。

除了AI代理自行超出授權範圍，這份回顧也整理了攻擊者利用AI系統安全弱點的案例。資安業者Varonis的CoSnitch研究顯示，攻擊者可透過特製連結，讓微軟Copilot在使用者已登入的情況下執行惡意提示詞，並可能讀取使用者透過Copilot連接的帳號資料。Miasma供應鏈攻擊則在遭入侵的套件及程式碼儲存庫中加入惡意組態檔案，開發人員使用AI程式開發工具開啟受影響的儲存庫時，就可能觸發惡意程式碼。另一起Deadbugz攻擊則試圖散布惡意MCP伺服器，透過修改工具定義，誘使AI代理讀取SSH金鑰及雲端服務憑證等敏感資訊。

這些事件顯示，單靠提示詞要求AI代理遵守操作限制，仍不足以防止代理越權。這份回顧建議企業限制AI代理的網路連線及工具使用權限，並監控代理是否執行未經授權的操作。對於AI程式開發工具及MCP伺服器，企業也應留意惡意組態檔案，以及工具定義在核准後遭到修改的風險。一旦發現AI代理超出授權範圍，應停止相關操作，並視情況撤銷存取憑證或阻斷網路連線。澳洲通訊局（ASD）先前也指出，目前仍沒有完全可靠的方法可以防範提示詞注入，因此企業應建立人工核准機制，避免AI代理未經核准便執行敏感或高影響操作。