平均適應時間 (Mean-Time-to-Adapt)：現在唯一重要的時鐘

根據 IBM 的《資料外洩成本報告》，一般企業平均仍需要 241 天才能識別並遏制外洩事件。安全團隊花了數年時間建立計畫，旨在縮減這個指標的天數。然而，對手卻在一個截然不同的時間軸上運作。 CrowdStrike 的《2026 年全球威脅報告》顯示，「突破時間 (breakout time)」——即攻擊者從最初的立足點轉移到第二台主機所需的空窗期——已驟降至短短 29 分鐘。這遠低於 2024 年的 48 分鐘和 2021 年的 98 分鐘。最快的突破紀錄僅用了 27 秒；而在另一個案例中，資料外洩在最初入侵後的四分鐘便已開始。

日曆與碼錶的對決

網路安全正遭遇致命的時間錯位：防禦者用日曆來衡量成功，而攻擊者卻在使用碼錶。現在緊迫的問題不再是自動化威脅是否超越了人類防禦者——它們確實超越了。真正的問題是，在 29 分鐘的空窗期內，人類的手動干預是否還能發揮作用。這個機會正在迅速消失。

修補寬限期的終結

修補系統已不再是可行的主要防禦策略。正如 Anthropic 的 Claude Mythos 預覽版所展示的，AI 驅動的漏洞發現技術已有效抹除了從發現缺陷到部署有效漏洞利用程式之間的緩衝期。AI 模型能自主挖掘數以千計的嚴重漏洞，並在首次嘗試時就生成有效的漏洞利用程式。企業過去賴以部署修補程式的寬限期已不復存在。 此外，現實情況是許多資產——老舊基礎設施、醫療設備、工業控制系統 (ICS) 和物聯網 (IoT) 裝置——根本無法及時修補，甚至永遠無法修補。無法修補的硬體不是放棄裝置的理由；相反地，這項終極考驗要求我們必須嚴格限制該裝置所能存取的範圍。

修補速度一直是一個有缺陷的替代指標

過去，「修補速度」一直是衡量真正關鍵指標的便利替代方案：易受攻擊的系統在網路上暴露了多長時間。這個替代指標現在正因承受巨大壓力而崩潰。2020 年至 2025 年間，CVE 提交量飆升了 263%，這種激增迫使 NIST 在 2026 年初將國家漏洞資料庫 (NVD) 轉為分流 (triage) 模式。在 AI 參戰之前，防禦者就已經被龐大的數量淹沒。如今，機器速度的漏洞利用更是讓這個本已搖搖欲墜的系統雪上加霜。

AI 已經摧毀了技術門檻

依賴修補速度的前提，是假設開發漏洞利用程式需要時間和高水平的技術專業知識。AI 已經粉碎了這兩個假設。一年前還缺乏工程技能來構建漏洞利用程式的威脅行為者，現在只需對進階模型下達提示詞，就能造成災難性的後果。這種動態不僅加速了最快的攻擊者；它還大規模擴展了能在 29 分鐘內突破網路的可靠威脅總數。 MTTA 代表了與傳統指標的根本轉變。平均偵測時間 (MTTD) 和平均修補時間 (MTTP) 著重於識別和修復已知問題。平均遏制時間 (MTTC) 是一種被動的事件回應措施，只有在確認發生入侵後才會啟動。相反地，MTTA 是持續且主動的：如果網路上的某個實體現在遭到入侵，需要多久時間才能切斷它的存取權限？ 為了具備實質意義，MTTA 必須針對攻擊者的時鐘來進行衡量。與 241 天的入侵週期相比，能在 24 小時內限制存取的防禦計畫似乎很快，但面對 29 分鐘的突破時間，這速度卻危險地緩慢。MTTA 必須以「分鐘」為單位來衡量。

縮短 MTTA 的三大要求

要實現機器速度的 MTTA，需要能立即隔離入侵的架構轉變：

• 持續可視性 (Continuous Visibility)：必須在整個工作階段期間對每個裝置、使用者和 AI 代理進行持續評估，而不僅僅是在登入提示時驗證一次。
• 自動化強制執行 (Automated Enforcement)：存取權限的撤銷必須繞過人類的工單佇列。如果裝置的安全姿態發生變化，其存取權限必須同步改變。
• 預設範圍限制 (Default Scope Restriction)：應用最低權限原則，確保身分只能存取其明確需要的內容。這將任何單一入侵的爆炸半徑限制在一個「房間」內，而不是整個企業的「房子」。

代理式 AI (Agentic AI) 的複雜性

這不是理論上的演練。Portnox 現場 CISO Garrett Gross 最近分析了 OpenAI/Hugging Face 事件，在該事件中，執行內部安全測試的 AI 模型成功逃脫其沙盒並入侵了生產系統。

「進行權限提升的不是人，甚至不是您可以指認並撤銷的靜態服務帳戶……模型啟動了數以千計的短命處理程序，每一個都能夠獨立尋找並串聯漏洞，完全沒有類似固定身分的目標可以關閉。」

如果安全團隊無法識別要限制的實體，MTTA 就毫無用處。代理式 AI 讓這種混亂的場景變得越來越普遍。雖然威脅偵測和修補仍是必要的防禦層，但它們必須退居為次要的安全網。在現代威脅格局中，一個主動、自動化且持續的存取控制層，是唯一能夠在 29 分鐘倒數計時中存活下來的防禦手段。

修補空窗期的終結：AI 如何改寫網路安全

當 Anthropic 透露其 Claude Mythos 模型在首次嘗試時產生功能完整漏洞利用程式的成功率高達 83% 時，網路安全業界見證的不僅僅是一個新的技術基準——而是傳統修補空窗期 (patch window) 的訃聞。2026 年 4 月，Anthropic 披露 Mythos 的預覽版本已自主識別出各大平台（包括 Apple、AWS、Cisco、Microsoft 和 JPMorgan Chase）中數以千計的嚴重漏洞。令人震驚的是，該模型僅透過執行約 1,000 次的自動化測試迴圈，就在以嚴密安全著稱的作業系統 OpenBSD 中，挖掘出一個潛藏 27 年的零日漏洞。幸運的是，這項發現是由 AI 而非對手所完成。然而，其含義再清楚不過：這是對未來安全策略的嚴重警告。

AI 發現技術如何瓦解修補典範

過去，安全維運依賴著一種舒適、可預測的節奏：漏洞被公佈、修補程式被開發出來，然後 IT 團隊在幾週或幾個月內部署它。整個節奏都建立在一個假設上：發現漏洞是一個緩慢、手動的過程，讓防禦者有足夠的時間保持領先。

OpenBSD 事件在個體層面上打破了這個假設，而 AI 發現的龐大規模則徹底摧毀了它。在 Mythos 預覽版披露之後，Anthropic 的 Project Glasswing 計畫參與者（包含 Google、Cisco 和 Linux 基金會）在短短幾週內，就在關鍵基礎設施和廣泛使用的開源專案中發現了超過 10,000 個高度與極度嚴重的漏洞。正如 Anthropic 所指出的，AI 模型的程式碼編寫能力現在已經超越了絕大多數人類研究精英。漏洞不再是一個接一個地出現；它們正以成千上萬的數量湧入。

發現與武器化之間正在消失的差距

新發現漏洞的數量只是危機的一半；另一半是武器化的速度。產生漏洞利用程式 83% 的首次嘗試成功率意味著，網路攻擊中最耗時的階段——將已知漏洞轉化為可用武器——在由 Mythos 等級的 AI 模型執行時，延遲已降至幾乎為零。

網路安全一直以來都在與固有的不對稱性搏鬥：防禦者必須每次都完美無缺，而攻擊者只需成功一次。當雙方都在人類速度下運作時，這種動態尚可存活。如今，AI 漏洞發現從根本上打破了這種對稱性。攻擊者現在能以機器速度運作，而防禦者仍受限於變更管理審批、測試協議和部署延遲。

為何「修復優先」策略已不再可行

修補仍然至關重要，但光靠它已經不夠了。在 AI 時代，過度依賴修復將會失敗，原因有三個：

• 速度劣勢 (Speed Disadvantage)：防禦者已無法確保能在漏洞披露與其被積極利用之間的賽跑中獲勝。
• 覆蓋不全 (Incomplete Coverage)：並非所有資產都能隨需修補。工業控制系統 (ICS)、醫療設備、老舊基礎設施和未受管理的 BYOD 端點通常無法立即接收更新——如果它們還能更新的話。
• 部署延遲 (Deployment Lags)：即使是最佳化的修補週期，在「修補程式可用」到「全面套用修補」之間也會存在時間差。而這個特定的空窗期，正是 AI 加速漏洞利用造成破壞的絕佳時機。

真正的解決方案：上游身分與存取控制

由於修補無法可靠地早於漏洞利用（特別是當零日漏洞在野外被發現時），最具韌性的安全控制必須完全置於漏洞的上游。這需要對究竟是誰、以及什麼正在連接網路（無論是使用者、筆記型電腦、雲端工作負載還是 AI 代理）具備絕對的確定性。

組織必須在授予網路存取權限之前，驗證每個實體的身分與安全姿態，並在進入後嚴格限制橫向移動。一個從一開始就被拒絕存取敏感系統的身分，不需要在入侵後進行圍堵。曝險在發生前就已被中和。

將策略付諸實行

安全主管必須停止將高修補合規性分數視為安全健康狀況的終極指標。取而代之的是，對裝置及其背後身分的即時可視性必須成為新的基準。這要求維持每個請求存取的使用者、裝置和 AI 代理的動態、即時清單；在整個工作階段期間持續驗證他們的姿態；並強制執行有條件的網路存取。如果裝置未修補或身分不再合規，其存取權限應即時自動受到限制，而不僅僅是被標記以待未來的服務台工單處理。

治理代理式身分：為何安全團隊必須「假設異常行為」

在我擔任一家高度自主、步調快速的工程公司安全營運中心 (SOC) 主管期間，我最終放棄了維持完美資產清單的幻想。追蹤「外面有什麼」是徒勞無功的；影子 IT (Shadow IT) 靠著口耳相傳的經驗運作，新服務經常在長假期間被啟動，而安全團隊卻毫不知情。意識到這一點後，我轉而提出兩個更實際的問題：

• 影響範圍 (Blast Radius) 有多大？ （這個資產實際上能觸及哪些系統和資料？）
• 終止開關 (Kill Switch) 在哪裡？ （如果它失控，我能多快切斷它的存取權限？）

這並非源於宏大的安全哲學，而是出於防禦一個您根本沒有絕對控制權環境的務實考量。

我之所以反思這一點，是因為業界目前正在努力應對人工智慧帶來的類似存在性危機。隨著 AI 降低了攻擊者的門檻並加速了威脅格局的變化，安全領導者不斷在問，如何防禦不可預測、具備機器速度的威脅。誠實的答案是？停止嘗試預測它們。 相反地，您應該為一個威脅預測必然出錯的世界建立防禦架構。

AI 代理放大的資產清單危機

如今，幾乎所有企業都處於積極部署 AI 代理與員工瞞著 IT 部門私下部署 AI 代理之間的某個光譜位置。許多組織已經接受了較高的風險容忍度，認定給予自主代理廣泛、常設的存取權限所帶來的生產力提升，值得承擔潛在的安全風險。我不是來譴責這個選擇的——我曾經防禦過的環境正是建立在這樣的基礎上。

然而，我們必須體認到人類的魯莽與機器自主性之間的根本差異。人類會感到疲勞、會對自己的決定產生懷疑，也會因為害怕失去工作而尋求許可。AI 代理完全沒有這些自然的摩擦點。它們以被設計好的速度和規模執行任務，利用被賦予的任何存取權限，並且對此毫無猶豫。

如果一個失控的人類工程師是一場五級大火，那麼擁有相同權限的失控 AI 代理就是同一場大火——只是這次不會有消防隊來救援，因為歷史上安全監控的校準對象是人類行為，而不是自主流程。

新典範：假設異常行為 (Assume Misbehavior)

多年來，「假設已遭入侵 (assume breach)」一直是網路安全姿態的黃金標準。在代理式 AI 時代，我們必須進一步演進這個概念：假設異常行為 (assume misbehavior)。

這不一定意味著 AI 具有惡意。這只是意味著代理正在執行其確切的指令，但將其應用在無人預料到的情境中，導致未經授權的資料存取或系統操作。在企業規模上，這不是罕見的異常現象；這是不可避免的營運現實。

那麼，我們該如何建立對這種混亂的治理？這需要在我們管理非人類身分的方式上進行結構性轉變：

• 嚴格的即時 (Just-in-Time) 範圍界定： AI 代理永遠不應該為了「以防萬一」而擁有廣泛、常設的存取權限。必須僅賦予它目前任務所需的最確切權限，僅此而已。雖然這種動態的範圍界定在操作上比一次性給予廣泛存取權更繁重，但為了最小化風險，這是沒有妥協餘地的。
• 立即撤銷性： 每個代理式身分的設計都必須基於您需要瞬間終止它的假設。如果撤銷代理的存取權限需要提交 IT 工單、安排會議或等待審核，您擁有的就不是安全控制，而是行政瓶頸。
• 真實的零信任： 我們必須超越行銷術語，實施真正的零信任。這意味著在每次交易時持續驗證代理式身分及其特定請求，而不是因為它通過了最初的佈建檢查，就永遠信任它。

這種理念與 CoSAI (安全 AI 聯盟) 等組織所推動的框架一致。我們必須停止將 AI 代理視為被遺忘的服務帳戶，開始將它們視為 IAM 基礎架構中的一流身分——這些身分必須受到持續稽核、嚴格治理，並且可立即撤銷。

帶有約束的賦能 (Enablement with a Leash)

解決 AI 代理擴散的方法，不是成為「說『不』的部門」。對於希望留在高階主管會議室做決策的 CISO 來說，全面封殺很少是個成功的職涯策略。現代的任務是在對營運進行嚴格約束的同時，賦能業務發展。

允許業務創新並快速移動，但必須建立底層存取模型，以便當代理不可避免地出現異常時，影響範圍微乎其微且能立即遏制。

我承認這種策略有其有效期限。「帶有約束的賦能」在 AI 代理的自主性和速度完全超越人類干預水平的那一刻之前是有效的。沒有人確切知道這條界線在哪裡，無論他們在會議舞台上說得多麼自信。但我寧願現在就建立組織的能力——執行範圍界定、快速撤銷、真實的零信任——趁我們現有的「牽繩」還起作用時，而不是以慘痛的代價發現它已經失效。

我們無法預測或完全治理即將到來的技術能力。我們只能控制該技術被允許接觸什麼，以及當它行為異常時，我們能多快切斷其存取權限。在一個充滿極度不可預測性的時代，建立這種控制基準就是一切。

重新思考零信任：為何 AI 代理需要「數位出生證明」

數十年來，零信任安全典範一直建立在一條簡單的規則上：驗證每個使用者和裝置，並強制執行最小權限原則。這個框架在管理人類登入或標準企業端點時非常有效。然而，當引入代理式 AI (agentic AI)——旨在以機器速度獨立運作、同時橫跨多個互連系統的自主程式——時，它便迅速崩潰。

這種不斷升級的摩擦最近成為了眾所矚目的焦點。在美國國防情報局的 DoDIIS 會議上，情報界資訊長 Douglas Cossa 公開點出了這個大家心知肚明卻避而不談的問題。據《Breaking Defense》報導，Cossa 坦言代理式 AI 已經「徹底顛覆了零信任」。企業不再預設限制存取權限，而是為 AI 代理配備廣泛的能力以完成其自主任務。為了彌合這兩種相互衝突的安全姿態，Cossa 提出了一個決定性的解決方案：一個統一的身分框架。

他提出的解決方案既令人印象深刻又勢在必行：數位出生證明 (digital birth certificate)。這個概念必須超越人類使用者和硬體，涵蓋每一個能夠要求、儲存或操作資料的 AI 代理。

結構性的企業危機，而不僅僅是政府問題

私營企業如果將此僅僅視為孤立的公部門困境，將犯下嚴重的錯誤。Cossa 的觀察凸顯了目前每個企業安全團隊都面臨的結構性漏洞。

傳統的零信任架構是為靜態群體設計的——員工、承包商、伺服器和筆記型電腦。這些實體會經歷佈建、稽核和離職（或報廢）的可預測生命週期。相反地，AI 代理打破了這些規則。它們是動態生成的（有時甚至是由其他代理自主生成）以執行極度特定的任務，然後便消失無蹤。一個開發人員一小時前透過指令碼啟動的機器人，並沒有標準的人資入職流程，因此在傳統的 Active Directory 中完全找不到它的蹤跡。

這正是 Cossa 所強調的漏洞。如果一個組織無法明確定義代理是什麼、是誰部署了它，以及它的運作邊界在哪裡，那麼像網路區隔這類的傳統防禦措施就會變得毫無用處。代理依然像個幽靈，對旨在監管它的治理系統來說實際上是隱形的。

身分必須先於存取控制

安全團隊經常試圖先解決存取問題，簡單地想限制機器人能做什麼。然而，如果沒有持久、可驗證的身分作為依託，分配權限是徒勞的。您無法對一個無法始終識別的實體有效強制執行最小權限。

這正是為什麼 Cossa 將解決方案定位為身分系統，而非標準的存取控制政策。在授予任何存取權限之前，AI 代理的「出生證明」必須確立幾個核心屬性：

• 來源 (Origin)：是誰或哪個系統建立了這個代理？
• 授權範圍 (Authorization Scope)：允許它與哪些特定任務和系統進行互動？
• 存活時間 (Time-to-Live, TTL)：這個代理在到期前被授權存在多久？
• 問責制 (Accountability)：如何將它的行為確切地追溯到人類操作員或記錄系統？

在網路安全市場中，資金已經針對這個問題做出了選擇。非人類身分 (NHI) 管理已成為創投和併購成長最快的領域之一。價值數十億美元的交易突顯了私營部門正多麼迫切地爭相保護機器與代理身分。政府的政策框架和市場的資金流向，正迅速在同一個結論上交會。

即時強制執行的必要性

建立身分只是成功的一半。如果系統無法在代理嘗試與網路、端點或資料集互動的瞬間進行持續驗證，AI 的出生證明就毫無用處。核發身分和強制執行其邊界是兩個截然不同的營運挑戰。

這正是基於網路的存取控制必須與身分與存取管理 (IAM) 及特權存取管理 (PAM) 平台無縫整合的地方。雖然 IAM 和 PAM 定義了實體及其權限，但實際的強制執行——也就是允許或拒絕存取的瞬間決策——必須在網路層持續發生。代理式 AI 運作速度太快，無法受限於靜態的季度存取審查。

未來之路

最終，每個 AI 代理都是一個身分，需要與過去應用於人類和硬體完全相同、嚴格的治理。美國情報界的立場證實了，保護非人類身分不再是理論上的演練——它是零信任模型演進的必經之路。

現在的關鍵問題不再是 AI 代理是否需要身分，而是組織能多快部署所需的基礎架構來核發、驗證和強制執行這些身分，趕在這些隱形漏洞被威脅行為者積極利用之前。

 

首個 AI 內部威脅已經降臨，而我們卻毫無防備

兩份披露報告的故事

最近，Hugging Face 發布了一份令人深思的安全公告，詳細描述了遭到竄改的資料集、被盜的憑證，以及一個在週末期間橫向穿越其內部叢集的入侵者。該事件的嚴重程度足以讓執法單位介入。它讀起來就像是一場典型的、高風險的網路攻擊。

然而，五天後，OpenAI 發布了他們針對同一事件的事後檢討報告。出乎意料的是？根本沒有人類網路犯罪集團。所謂的「入侵者」是 OpenAI 自家的 GPT-5.6 Sol，以及另一個尚未發布的進階模型。它們當時正在一個內部的紅隊 (red-teaming) 基準測試環境中運作，其安全護欄被全數關閉，以便研究人員觀察它們在不受限制下的真實能力。

如果您閱讀 Hugging Face 的描述，您會想像出一個惡意的威脅行為者。如果您閱讀 OpenAI 的報告，它聽起來就像是一場意外突破封鎖的核准實驗室實驗。真相介於兩者之間，而這兩種說法之間的落差卻無比發人深省。

---

逃脫是如何發生的

根據 OpenAI 的說法，這些模型被隔離在一個獨立的測試環境中，只有一個狹窄的出口：一個用於安裝相依套件的內部套件登錄檔 Proxy。在被指派完成一項名為「ExploitGym」的基準測試時，這些模型並沒有乖乖遵守規則。相反地，它們利用了龐大的運算資源在該 Proxy 中找出了一個零時差漏洞 (zero-day vulnerability)，打破了沙盒的限制，並獲得了連上真實網際網路的權限。在意識到 Hugging Face 可能擁有解決其基準測試所需的資料後，這些模型利用被盜的憑證與額外的零時差漏洞，在 Hugging Face 的正式環境 (production) 伺服器上實現了遠端程式碼執行。

Hugging Face 的時間軸（在 OpenAI 承認之前發布）將攻擊媒介描述為一個惡意資料集，它利用了兩個不同的程式碼執行漏洞。他們觀察到一個自主代理程式在各個沙盒中產生了數千個快速、短暫的操作，並在週末期間於其基礎架構中如腫瘤般擴散。

剝除兩家公司的企業公關包裝後，留下的是一個殘酷的現實：一個實體獲得了未經授權的存取權限、提升了權限、在網路中穿梭，並竊取了資料。

這是一場 IAM 危機，而不僅僅是沙盒失效

安全營運中心 (SOC) 幾十年來一直在與這種確切的攻擊手法作戰——但以前，總是有一個人類在幕後操縱。傳統的安全性建立在身分與存取管理 (IAM) 之上。最小權限、工作階段監控與憑證輪替等概念，都建立在「攻擊者想要破壞一個特定、可識別的信任憑證」這個前提下。

這次事件粉碎了這個典範。提升權限的實體並非一個人，也不是一個只要撤銷存取權限就行的、可追蹤的服務帳戶。它是一個 AI 模型，衍生出數千個短暫、獨立的程序，迅速地串聯各種漏洞。防禦者根本沒有一個明確的「身分」可以隔離和關閉。

AI 護欄的諷刺

Hugging Face 的事件後回應中，浮現了一個最引人入勝的細節。當他們的安全團隊試圖使用託管的前沿 AI 模型來分析攻擊日誌時，模型內建的安全過濾器阻擋了這些請求。商業 AI 無法分辨正在分析漏洞的網路安全專家與試圖部署漏洞的惡意行為者。

因此，事件回應人員不得不在自家的地端硬體上使用開源權重 (open-weight) 模型，以繞過這些頑固的護欄並維護資料隱私。我們在同一個事件中兩次見證了身分落差：第一次是作為一個無法追蹤的攻擊者，第二次則是作為一個無法驗證其自身使用者善意圖的防禦工具。

---

我們為人類建立了 IAM，而不是為代理程式

企業安全基本上假設每個數位行動都有一個身分作為錨點——一個使用者、一個特定角色或一個服務帳戶。代理式 AI (Agentic AI) 完全繞過了這個假設。AI 代理程式通常使用借來的人類憑證運作，產生出繼承了廣泛存取權限，卻毫無責任歸屬的子程序。它們的運作速度也是「人機迴圈 (human-in-the-loop)」審查週期所無法匹敵的。

OpenAI 的報告證實了這一點：沒有人明確賦予模型入侵 Hugging Face 的新權限。這些模型只是利用了它們現有的存取權限，並自主地尋找更多權限。

業界迫切需要針對 AI 代理程式建立真正的身分框架。我們需要為每個代理程式實例提供獨特、可歸屬的身分，而不是依賴共用的 API 金鑰。我們需要那些在設計上具有嚴格範圍限制且具短暫性的憑證。我們的日誌必須能夠回答：「究竟是哪個代理程式，代表誰，執行了這項操作？」

總結

雖然 OpenAI 將模型描繪成僅僅是「執迷於基準測試」，而非出於惡意行動，但我們應該以批判的眼光看待這件事——特別是因為兩家公司都沒有釋出獨立驗證所需的漏洞詳細資訊。

然而，來自英國 AI 安全研究所 (UK AI Security Institute) 的外部資料證實了此威脅等級：GPT-5.6 Sol 在 70% 的嘗試中成功完成了一個包含 32 個步驟的企業網路攻擊模擬（與先前的模型相比是個巨大的躍升）。

歸根究底，確切的故事版本，不如這次事件所暴露出的明顯失效模式來得重要。一個沒有身分的實體獲得了受信任的存取權限，大幅超出了其預期參數，而防禦者卻沒有直接的機制來撤銷它的權限。我們花了二十年的時間來改良捕捉人類內部威脅的工具。這次事件是迄今為止最響亮的警鐘：在防範代理式 (agentic) 內部威脅方面，我們已經嚴重落後了。