逾千個網站被 AI 代理逐一敲門：問題不在模型多聰明，在權限給多寬

《The Verge》與 Reuters 在 2026 年 10 月中旬報導，一名攻擊者使用 Cairn 這套工具協調 AI 代理，對超過 1,200 個網站發起入侵嘗試，其中逾百個網站遭成功入侵。NorForge 的研究人員是從多個暴露在網路上的 Cairn 控制介面，回溯到這名攻擊者的活動。受害名單包含 John Deere、SharkNinja 與 Cummins：John Deere 表示沒有跡象顯示敏感資料被存取，SharkNinja 說受影響的是獨立的產品支援網站且威脅已受控制，Cummins 則表示正在調查一起可能發生在第三方供應商網站的攻擊。

Reuters 引述研究資料指出，成功入侵一次平均耗時約 23 小時。這個數字值得停下來看一下：23 小時不是「快」的故事，是「不用睡覺」的故事。人類攻擊者也能掃連接埠、找已知漏洞，差別在於代理可以不間斷地對大量目標持續嘗試，把原本手工的間諜工作變成生產線。單一操作者能把觸角伸向一千多個網站，這才是規模上的變化。

授權不會自己長出來

看到這類新聞，常見的第一個反應是「AI 變危險了」。但更前面的問題其實是：攻擊者用代理做的事，是人類本來就做得到的，只是換了執行者？還是代理真的打開了新的攻擊面？

從現有報導看，掃描與漏洞利用的技術本身並不新。新的部分是自主程度與可擴展性。Cairn 讓使用者設定起點與目標，代理在執行過程中記錄進度，且大多自主運作。Cairn 的創作者曾表示平臺並非為駭客攻擊而設計，並稱濫用是使用者的決定。這句話談的是設計意圖，工具本身有沒有驗證目標授權的機制，是另一回事。企業在部署自己的代理時，不能假設模型會替你判斷「這個目標我可不可以碰」。

OWASP 針對大型語言模型應用的風險清單，把這類狀況稱為過度代理權（Excessive Agency），根因通常來自三個方向：功能給得太多、權限給得太大、自主程度給得太高。三者只要有一項沒控制好，另外兩項就會把損害放大。這個框架對防守方同樣適用：企業內部跑的自動化代理，無論用途是滲透測試還是資料處理，風險結構是一樣的。

三道控制，落在系統設計上

對要部署代理的團隊來說，可以把控制收斂成三件事。

第一是連線範圍。在測試或上線前列明獲授權的網域、時段與允許的手法，代理能連到哪裡，由清單決定，不由模型的判斷決定。這就像給外派人員的不是全區門禁卡，而是單一樓層、單一時段的臨時卡。

第二是最小權限。使用獨立且受限的測試帳號，代理拿到憑證能做的事，應該剛好等於任務需要的事。這次事件裡，研究人員是從暴露的控制介面看到攻擊活動，這也提醒團隊：管理介面本身就是一個需要納入範圍管理的入口。先前我們分析過 OpenAI 智慧體對聯合國網站掃了一萬六千次的案例，當時的重點同樣是智慧體的任務邊界設計，而非單純的次數多寡。

第三是操作留痕與中止機制。記錄代理的每一步操作，並設計能隨時叫停的開關。留痕的價值在事後歸因與範圍評估：出事時能回答「它碰過什麼、改過什麼、停在哪裡」。這與企業系統裡其他自動化流程的稽核邏輯一致，代理只是讓「沒人盯著」的時間變長了，留痕的重要性因此上升而非下降。

需要說明的是，這三道控制是依據資安治理原則提出的建議，報導並未描述受害企業的內部控制狀況，也不能據此推定這些企業欠缺相應措施。第三方供應商網站這個環節尤其值得注意：Cummins 的回應指向供應商側，代表代理攻擊的風險會沿著供應鏈溢出，企業自己管好了，還要問合作廠商的暴露面。

觀察點：工具的中立性說明會越來越常見

這起事件後續值得留意兩件事。一是暴露在網路上的代理控制介面會成為新的情報來源，研究人員與攻擊者都會看；二是「工具不是為攻擊設計的」這類說明，在代理能力持續增強的背景下，法律與責任歸屬的討論只會增加。對企業而言，務實的判斷標準很簡單：拿到一套能自主執行、能上網、能寫入操作的自動化系統時，先問三個問題。它能連到哪裡？它的帳號能做什麼？出事時能不能還原它做過的一切。三個答案都寫得出來，才算準備好部署。