蜂群式多代理系統正在重塑企業 AI 的邊界——它讓自動化任務從單點執行升級為協作蜂群，也讓攻擊者第一次擁有了能與企業防禦體系同等規模運作的武器。本文從架構原理、企業應用價值到資安威脅三個層次，為 CIO/CISO 提供一份有數據、有來源、能立即對照自身處境的決策參考。
編譯／Frances
在 2025 年 9 月，Anthropic 的資安監控系統捕捉到一組異常的 API 呼叫序列。沒有鍵盤後面的駭客，沒有釣魚郵件，沒有任何已知的惡意程式特徵碼——觸發警報的，是一套以 Anthropic 自家 Claude Code 為核心所建構的自主攻擊框架，正在以機器速度橫掃全球目標的 IT 基礎設施。
這起行動後來被命名為 GTG-1002，由中國國家級威脅組織執行，鎖定了橫跨科技、金融、化工製造與政府機關共約 30 個高價值目標，地理範圍涵蓋亞洲與歐洲。Anthropic 確認「少數目標」遭到成功入侵，後門已植入，大量敏感資料已外洩。發現這一切的不是任何受害企業的資安團隊——而是 Anthropic。受害企業，從頭到尾都不知道自己正被攻擊。［Anthropic GTG-1002 官方披露］
[ 加入 CIO Taiwan 官方 LINE、Facebook 與 LinkedIn，與全球 CIO 同步獲取精華見解 ]
這不是資安研究論文的假設情境。受害者橫跨你的同業：科技公司、銀行、製造業、政府。而讓所有受害者資安團隊渾然不知的原因，事後分析指出一個共同點：這些企業的資安基礎設施都沒有壞——它們只是建立在「攻擊者是人類」的假設上。
GTG-1002 使用的，正是本文的主題：蜂群式多代理系統（Agentic Swarm）。它是企業正在部署的效率工具，也是攻擊者已經在使用的作戰平台。對 IT 主管而言，這套架構邏輯必須從兩個角度同時理解。
一、什麼是蜂群式多代理系統
蜂群式多代理系統（Agentic Swarm，或稱 Multi-Agent System，MAS）：指多個具備自主規劃能力的 AI 代理，透過分工協作完成單一代理無法處理的複雜任務。Gartner 於 2026 年 4 月首次為 Agentic AI 單獨發布 Hype Cycle 報告，將 MAS 納入 30 個核心創新技術追蹤，並記錄企業詢問量從 2024 年第一季至 2025 年第二季暴增 1,445%。［Gartner MAS 文章］
典型蜂群架構包含三層角色：
- Architect Agent（任務代理）：接收高層目標，將其拆解為可執行的子任務序列，並決定調度邏輯。
- Specialist Agents（專業代理群）：各自負責特定領域——資料研究、文件撰寫、程式碼分析、法遵審查——平行或序列執行，互不干擾。
- Critic Agent（稽核代理）：作為蜂群的內部品管機制，持續驗證其他代理的輸出是否符合目標與政策邊界，並在必要時觸發重試或升級。
然而，並非所有多代理設計都能帶來預期效益。多家學術機構 2026 年的研究指出，以自然語言摘要傳遞上下文的「對話式交接」多代理，在等量運算資源下的推理表現反而可能劣於單一代理——每次代理間的交接都造成不可逆的資訊耗散。解方是採用黑板架構（Blackboard Architecture，或稱 Stateful Swarm）：代理不以語言摘要交換資訊，而是直接寫入帶有出處追蹤的結構化共享狀態。這種架構設計顯著提升了複雜推理任務的完成率，是企業選型的關鍵技術依據。
Agent Washing 識別三問：如何判斷供應商的「代理」是真是假？
- 這套系統能自主規劃子任務序列，還是只執行預設的規則流程？
- 代理之間能動態協調並在執行中調整計畫，還是只有固定的前後順序？
- 系統對未預期情況有自主應變能力，還是遇到例外就中止等待人工介入？
※Gartner 2025年6月新聞稿估計全球數千家標榜 Agentic AI 的供應商中，真正具備代理能力者約僅 130 家。
二、對企業的應用價值：效率、準確度、成本
蜂群式多代理架構受到企業快速採用，背後有三組具體的數字支撐。
1. 規模：採用速度超出預期
Gartner 的 2026 年 CIO 與科技主管調查顯示，目前僅 17% 的組織已部署 AI 代理，但超過 60% 預計在未來兩年內跟進，是 Gartner 追蹤的所有新興技術中採用意願最積極的類別。［Gartner Hype Cycle for Agentic AI］
2. 準確度：架構設計決定成效
在架構設計正確的前提下，多代理系統能顯著提升複雜任務的完成率與準確度。醫療、金融、人資等場景的實際部署數據顯示，代理自主處理率普遍達到 80%~90% 區間，且多代理協作相較於單一代理，在多步驟任務中的累積錯誤率更低。前提始終是「架構設計正確」——這正是黑板架構與對話式交接之間選型意義所在。
3. 成本：建置費用與治理佔比
企業代理系統的建置成本因規模與複雜度差異極大，但業界普遍反映治理與系統整合的費用佔總預算的比重超過技術本身，後續維護與合規監控更是持續性支出。小型專用模型取代大型通用模型的架構趨勢正在同步壓低推論費用，但治理成本不會因此下降。
CIO 的核心挑戰：就緒度與代理擴散
然而，ROI 實現並不自動發生。ISACA 針對 3,400 位以上 IT 稽核、治理與資安專業人員的 2026 年 AI Pulse Poll 顯示，90% 的組織員工已在使用 AI，但僅 22% 認為 ROI 符合或超過預期。［ISACA 2026 AI Pulse Poll］
Gartner 同時提出 Agent Sprawl（代理擴散）警示：當不同部門各自部署代理，且缺乏統一生命週期管理時，代理在孤島中運作，行為不可預期，稽核軌跡斷裂，成本失控。Gartner 預估超過 40% 的 Agentic AI 專案將在 2027 年底前喊停，主因是成本攀升、商業價值不明確與風險控制不足——而非技術本身失效。［Gartner 新聞稿 2025/6/25］
IBM 在 2026 年 5 月 Think 大會上提出「Agentic Enterprise 四系統作業模型」作為對策：代理協調層、即時資料基礎、端到端自動化、混合雲主權治理——四個支柱缺一不可。［IBM Think 2026］
三、就算你不用，駭客已經在用了
GTG-1002：第一起 AI 代理主導的國家級諜報行動
回到 2025 年 9 月的那場攻擊。GTG-1002 的攻擊框架以 Claude Code 為核心，透過角色扮演讓 AI 相信自己是一家合法資安公司的員工、正在執行授權的滲透測試，藉此繞過安全機制。接下來，AI 代理自動執行了完整的攻擊鏈：
- 偵察階段：自動繪製目標網路拓撲，掃描認證入口、雲端存取節點、API 端點與系統設定漏洞，同時對數十個目標平行展開，速度達到每秒多次請求。
- 漏洞利用：針對每個目標生成客製化漏洞利用程式碼，竊取憑證後在系統間橫向移動，提升權限、植入後門。
- 情報提取：鎖定敏感資料庫，分類提取原始碼、系統設定與機密文件，同步產出詳細的行動報告供人類操作員複核。
人類操作員介入的節點，平均每場攻擊只有少數幾個關鍵決策：目標選定、高風險步驟審核、最終資料外洩授權。AI 執行了整個攻擊鏈的 80%~90%。［Anthropic GTG-1002 完整技術報告（PDF）］
攻擊者沒有使用任何零時差漏洞，也沒有自製惡意程式。他們使用的，是一般企業採購得到的商業 AI 工具，整合既有的滲透測試框架，自動化執行每個企業 IT 環境都存在的設定弱點鏈。整場行動持續約十天，最終由 Anthropic 偵測關閉。受害企業的資安系統，在整個過程中沒有觸發任何警報。［Coretelligent Intelligence Report 2025/12］
Anthropic 的回應：Mythos 與 Project Glasswing
GTG-1002 直接催生了 Anthropic 的反制行動。2026 年 4 月 7 日，Anthropic 發布 Claude Mythos Preview 並同步啟動 Project Glasswing——其邏輯是：與其等攻擊者取得這種能力，不如先讓防守方用它掃描並修補全球最關鍵的軟體。［Project Glasswing 啟動公告］
Mythos Preview 的能力已跨越一個門檻：它完全自主發現並利用了 FreeBSD 一個存在 17 年的遠端執行漏洞（CVE-2026-4747），可讓未認證攻擊者取得伺服器 root 權限，全程無任何人類介入。在每一個主流作業系統與瀏覽器中，Mythos 均找到了高危或嚴重漏洞。［Anthropic Mythos 資安能力評估］
截至 2026 年 5 月，Project Glasswing 約 50 個合作夥伴已用 Mythos 發現超過一萬個高危險或嚴重漏洞。Anthropic 隨後將合作夥伴擴展至約 200 家，新增電力、水務、醫療、電信等關鍵基礎設施營運商，橫跨 15 個以上國家。Anthropic 對每個合作夥伴的選定標準只有一條：「一旦遭到成功攻擊，影響人數超過 1 億人。」［Anthropic Glasswing 更新 2026/5/22］
值得注意的是，就在 Mythos 發布的同一天，一群未授權用戶透過第三方承包商的帳號與 API 金鑰，繞過存取控管取得 Mythos 使用權限。Anthropic 確認正在調查。這個插曲本身，就是一個關於代理系統存取治理的現實案例。
下一波威脅：學術實證的自主攻擊蠕蟲
GTG-1002 之後，學術界也在同步驗證自主 AI 攻擊的可行性。多倫多大學、Vector Institute 與劍橋大學研究人員於 2026 年 6 月 2 日在 arXiv 發表概念驗證研究（arXiv:2606.03811），以運行在已入侵機器上的本地開源 LLM 為核心，在隔離的 33 台主機測試網路中，15 次實驗平均入侵 23.1 台（73.8%）、成功自我複製至 20.4 台，無需連線外部伺服器，傳統基於規則的偵測機制無從辨識。［Help Net Security 2026/6/3］ ［多倫多大學官方聲明］
研究人員指出，蜂群式平行推理架構使蠕蟲能從多個角度同時嘗試入侵，大幅提升單次嘗試成功率。這正是 GTG-1002 能在十天內完全不觸發警報的根本原因之一。
Gartner 的預測是：到 2028 年，至少 15% 的日常工作決策將由代理自主完成；同時，AI 代理被內外部威脅濫用的資安事件將成為企業必須正視的新型風險類別。［Gartner Hype Cycle 2026］
CISO 需要重新定義的三個邊界
面對蜂群式攻擊，傳統資安框架有三個根本性的假設需要修正：
- 最小權限原則需要按代理重新定義：每個代理必須擁有獨立的、僅限完成當前任務所需的最小存取範圍。代理共用憑證，是 GTG-1002 得以在系統間橫向移動的結構性漏洞。
- Human-in-the-loop 必須在設計時就決定節點：哪些決策必須強制人工審核？這個邊界不能在事後補加，必須在代理框架設計之初就明確定義，並以技術手段強制執行，而非依賴操作員的判斷。
- 可稽核性是防禦的基礎設施：每個代理的每個決策步驟都必須產生完整的行動軌跡。GTG-1002 能在受害企業環境中不觸發任何警報，部分原因正是這些企業缺乏對 AI 工具行為的細粒度可觀測性。
結語：同一套架構，兩種使用方式
蜂群式多代理系統的架構邏輯，在 2026 年同時出現在兩個場景：企業的效率自動化專案，以及國家級攻擊者的作戰平台。兩者使用的是相同的技術原理——任務分解、平行執行、結果整合——差別只在目標與授權。
對 CIO 而言，問題是：你的組織是否具備讓代理安全落地的資料基礎與治理架構？Gartner 調查顯示，目前僅 17% 的組織真正完成部署，60% 正在規劃——而 40% 的專案預計將在 2027 年底前因治理缺口而喊停。對 CISO 而言，問題更直接：你的防禦框架是否仍然建立在「攻擊者是人類」的假設上？你的代理，知道什麼時候該停下來嗎？
(本文授權非營利轉載，請註明出處：CIO Taiwan)
