整理／鄭宜芬
隨著企業將代理 AI串接雲端、資料庫與營運流程，企業對於組織內資安的可視性與治理能力將面臨新的挑戰。趨勢科技旗下 TrendAI 最新研究報告「代理式 AI 的影子工作流程：解析可信任工作流程背後的攻擊面」指出，企業導入 AI 代理的速度，已超過企業既有的資安能見度與治理能力，AI 代理、MCP 伺服器、AI 技能與檢索增強生成（RAG）工作流程快速增加，其中部分甚至未被納入傳統資產清冊及存取控制，形成難以掌握的「影子 AI」，使原本可信任的工作流程成為新的攻擊面。
研究團隊指出，企業從雲端部署 AI 到讓 AI 代理執行任務，過程中可能因雲端設定不當、服務帳號權限過大、MCP 連接器存在弱點，或供 AI 參考的資料遭竄改而面臨風險。未經企業審查或管理的「影子 AI」，也可能讓這些風險更難被發現。一旦攻擊者濫用受信任的代理 AI 工作流程，影響可能從技術層面的暴露進一步擴大為業務營運中斷。
特別是對科技、媒體與通訊業而言這樣的風險更值得關注，運用代理 AI 處理內容資料、客服案件及資料庫查詢，一旦這些 AI 工作流程被攻擊者利用，影響可能不只限於系統安全，還可能波及內容正確性、發布流程、受眾信任、品牌安全，以及合作夥伴的信心。
[ 加入 CIO Taiwan 官方 LINE、Facebook 與 LinkedIn，與全球 CIO 同步獲取精華見解 ]
1,467 個外暴露的伺服器缺身分驗證
MCP 讓 AI 代理連接資料庫及其他系統，但相關服務若有漏洞或缺乏身分驗證，也可能成為攻擊者的入口。研究團隊析超過 19,000 個開源 MCP 伺服器儲存庫，發現其中高達約 20% 存在可被利用的漏洞；並發現 1,467 個對外暴露、完全沒有驗證機制的 MCP 伺服器。2025 年更出現 95 個與 MC P相關的已 CVE。
AI 開發與部署過程中的模型、軟體元件也有風險。報告指出，AI 供應鏈相關漏洞中，46.5% 屬於高風險或嚴重風險；並預估 2026 年 AI 相關的已公開資安漏洞可能達 2,800 至 3,600 個。若企業使用的模型或元件遭到竄改，攻擊者可能藉此影響後續的 AI 工作流程。
不必「駭進去」也能攻擊
研究報告指出，一種稱為Return-to-Tool（RTT）的攻擊方式，是把惡意指令藏在客服案件、文件、資料庫紀錄或圖片中。代理 AI 讀取這些內容時，若把其中的指令當成工作要求，就可能動用自身原本獲准使用的系統和權限，替攻擊者執行操作。
在研究人員的測試中，藏在客服案件裡的惡意指令曾誘使代理 AI 從資料庫擷取驗證權杖，或利用內建資料庫功能加密客戶資料；護照影像中的隱藏指令，也曾誘使處理身分驗證資料的代理 A I洩漏其他客戶紀錄。報告指出，RTT 攻擊目前主要在受控研究環境中展示。由於代理 AI 使用的是合法的身份憑證和已授權的功能，這類攻擊未必會留下異常登入或傳統惡意程式的跡象。
[ 推薦閱讀：提升 AI 資安，從事後補救轉向採購前嵌入規格 ]
企業應從「資產盤點」著手
TrendAI 建議，企業先盤點內部使用的代理 AI、MCP 伺服器、AI 技能、服務帳號及外部資料來源，包括未經資安審查便投入使用的「影子 AI」。接著，依照各 AI 代理的工作需求，限制其可存取的資料及可執行的操作，同時要求 MCP 伺服器驗證使用者身分，並檢查代理 AI 使用的知識庫內容與檢索模式，防止遭竄改的內容影響代理 AI 行為。
企業也應記錄代理 AI 何時查詢資料、操作哪些系統，建立正常行為基準。若代理 AI 讀取外部文件或客服案件後，突然存取與任務無關的資料，資安團隊便能及早調查，此外，企業應建立 AI 專屬事件應變流程，並強化外部輸入內容與AI供應鏈的安全控管，讓AI系統具備與其他關鍵企業基礎架構相同等級的能見度、存取控制、監控與事件應變能力。
(本文授權非營利轉載，請註明出處：CIO Taiwan)
