網絡安全焦點過去主要集中於利用人工智能（AI）進行偵察、挖掘漏洞及編寫惡意程式，但攻擊者亦可能反過來利用已部署在企業基礎設施內的AI代理發動攻擊。Claude Code CLI、Gemini CLI、Codex CLI及Amazon Q CLI等工具，具備讀取及修改文件、執行終端命令、安裝軟件及連接外部服務的能力，因此可能成為具備既有權限和資料存取能力的攻擊入口。
AI代理為何成為高價值攻擊目標
對攻擊者而言，企業內部的AI代理近似一套已完成部署的多功能工具。這類代理可能擁有執行命令所需的權限、存取關鍵資料的能力，以及連接企業服務的安全准入資格。攻擊者可以透過自然語言指令，要求代理搜尋密碼、API金鑰或加密貨幣錢包等敏感資料。
風險亦可能隱藏在AI代理自動讀取的數據中。由於代理經常與電子郵件、即時通訊、任務管理系統、知識庫及模型上下文協定（MCP）伺服器互聯，只要資料來源會被代理自動處理，惡意指令便可能從多種渠道進入工作流程。
提示詞注入與惡意工具描述擴大攻擊面
提示詞注入攻擊已成為其中一種主要手法。攻擊者會將惡意指令藏在AI代理讀取的網頁、文件、訊息或其他數據中，試圖誘導代理執行原本不應進行的操作，包括洩漏系統提示詞、擴大資料存取範圍或調用其他工具。
另一類風險來自錯誤日誌及異常處理流程。如果企業把錯誤處理交由AI代理執行，代理可能將惡意內容判定為合法指令，並自動安裝第三方軟件包。若相關軟件包含有惡意程式，攻擊者可能藉此竊取憑證、篡改程式碼，或在系統內建立持久化存取。
MCP安全管控仍有待完善
MCP推出僅約1年，推廣速度較快，但目前缺少完整的內建安全管控機制。威脅可能直接潛伏在MCP工具內，甚至在AI代理正式調用工具前便已存在。
AI代理會解析工具描述，判斷使用時機，並決定需要傳入的資料。如果MCP伺服器營運方暗中修改工具描述，加入收集額外資料的指令，代理可能把這些要求視為正常工作流程的一部分並執行，令工具描述本身成為新的攻擊載體。
公共網站中的隱藏AI指令持續增加
今年，網絡安全公司Palo Alto Networks旗下Unit 42研究人員發現，大量公共網站普遍存在秘密植入、面向AI系統的指令。這些指令大多試圖迫使模型洩漏系統提示詞、在廣告投放審核中放行特定網站及帖子，或利用搜尋引擎推廣釣魚頁面。
Google對通用網絡爬蟲數據集（Common Crawl）的分析亦記錄到相關惡意內容增加。來源指出，在2025年11月至2026年2月期間，惡意注入內容的佔比上升32%。這類數據顯示，企業不能只把AI代理視為單純的應用程式，亦需要檢查其接收及處理的外部內容。
Kaspersky提出9項AI代理防範措施
網絡安全方案供應商卡巴斯基（Kaspersky）建議，企業可從資產盤點、權限管理、運行隔離及持續監控等方面建立防禦措施：
- 建立AI代理及MCP伺服器資產清單：以許可名單管控代理可調用的工具，只允許安裝經資訊安全部門嚴格審核及核准的程式，並在許可名單中記錄程式的確切版本。
- 持續監控版本變更：監察MCP工具及其他相依性的版本更新，在把新版本加入許可名單前重新進行安全評估。
- 落實最小權限原則：只授予AI代理完成特定任務所需的權限，並將權限有效期限制在任務執行期間。
- 對高風險操作強制人工審批：程式安裝、腳本運行及檔案傳輸等操作，應由人工確認後才可執行。
- 在隔離環境運行AI代理：限制代理直接存取開發者工作站，降低代理遭利用後對本地環境造成的影響。
- 關閉高風險自動授權模式：避免代理在缺乏人工確認的情況下，自動取得可能擴大影響範圍的權限。
- 管控對外網絡連接：只允許AI代理向合規的業務服務傳輸數據，減少未授權外連及資料外洩風險。
- 集中管理金鑰：把金鑰統一存放在安全金鑰庫，使用短時有效令牌，並定期進行金鑰輪替。
- 整合安全監控平台：將提示詞日誌、工具調用記錄、終端命令及AI代理網絡流量匯總至安全信息與事件管理（SIEM）及擴充偵測與回應（XDR）平台。
完整運行上下文是偵測關鍵
要有效發揮SIEM及XDR平台的作用，企業不僅需要收集AI代理的完整運行上下文，也需要為AI數據處理鏈配置專門的偵測規則。單獨記錄登入事件或網絡流量，未必足以還原代理為何調用某項工具、讀取哪些資料，以及執行了哪些命令。
隨着AI代理逐步接入開發、通訊、知識管理及自動化流程，企業的防禦範圍亦需從模型本身延伸至代理權限、MCP工具、第三方依賴、外部數據及人工審批流程。上述措施可降低攻擊面，但實際成效仍取決於企業能否持續盤點代理行為、審核版本變更並保留足夠的調查記錄。
Reference Link : inews.hket.com
