重新思考網路安全意識：為什麼傳統計畫會失敗以及如何演進

「勾選方塊」時代的終結

數十年來，企業投入了大量資源在年度安全培訓與例行性的網路釣魚測試上。目標始終是降低人為風險。然而，儘管有這些投資，員工仍然會不經意地暴露敏感資料，並落入複雜的詐騙陷阱中。新漏洞出現的速度，遠比一年一度的簡報教材所能應對的要快得多。 殘酷的現實是，意識無法取代行動。在毫無威脅的培訓環境中知道惡意軟體的定義，與在混亂的工作日中識別出一封具高度針對性、令人備感壓力的魚叉式網路釣魚電子郵件，兩者有著天壤之別。

AI 因素：倍增的人為風險

正如 Gartner 所指出的，生成式 AI 的爆炸性成長已經永久改變了網路防禦的樣貌。根據 Deloitte 的報告，超過 86% 的組織正在以某種形式使用 GenAI，這使得攻擊面呈指數級擴張。 這裡的核心漏洞並非 AI 本身；而是不受管理的人機互動。員工正在繞過官方管道使用個人的 AI 助理、粗心地將專有資料餵給公開模型，並面臨著能毫不費力模仿執行長的深偽技術。傳統、偏重合規性的意識計畫，根本無法應對這種由 AI 增強的現代現實。

---

進步的錯覺

標準的意識計畫非常擅長產出樂觀的報表——100% 的影片完成率和全勾選的合規方塊。然而，它們卻無法在關鍵的摩擦時刻進行干預：當員工為了更快完成專案而想使用未經核准的工具時，或者當他們出於習慣而盲目核准多因素驗證 (MFA) 提示時。 事實上，設計不良的培訓可能會滋生虛假的自信，或者將安全防護淪為一項乏味的苦差事，而不是日常的維運直覺。問題的根源在於將安全視為技術知識的匱乏，而非行為上的挑戰。

安全策略的典範轉移

關注領域	傳統意識培訓	行為驅動安全
主要目標	知識傳遞與合規性。	實質的風險降低與習慣建立。
交付方法	年度或半年度的單一冗長課程。	持續、短小精悍且具上下文關聯的推力。
成功指標	高參與率與完成率。	較少的危險行為與較高的通報率。

人類是目標，而非敵人

網路安全產業很喜歡「人類是最脆弱的一環」這句老生常談。這種論述不僅不完整，而且適得其反。雖然大多數的資料外洩都是由人類行為引發的，但真正的罪魁禍首是僵化、設計不良的安全計畫。 安全團隊不應將矛頭指向使用者，而是必須從要求合規轉變為培養深度的文化參與。只要員工在一個「讓安全選擇成為阻力最小之路」的系統中運作，他們就是您的第一道防線。

---

培養安全優先文化的 6 個步驟

Gartner 提倡採用安全行為與文化計畫 (Security Behavior and Culture Programs, SBCPs)。以下是如何將安全深植於您組織的 DNA 中：

1. 將風險與業務現實連結

抽象的網路概念無法引起共鳴。請明確向員工展示資料外洩會如何影響營收、日常維運以及客戶信任。將利害關係個人化能推動真正的行為轉變。

2. 確保可見的高階主管支持

文化是由上而下傳遞的。如果領導層將安全僅視為 IT 問題，公司其他人也會如此。高階主管必須以身作則，積極參與安全倡議。

3. 鎖定高風險行為 (超越網路釣魚)

別再只過度關注可疑連結了。現代計畫必須積極應對影子 AI 的使用、憑證處理不當、權限過大的存取，以及機密資料的過度分享。

4. 提供具上下文關聯的微學習 (Microlearning)

年度研討會很容易被遺忘。請實施即時、當下的指引。如果使用者試圖將敏感檔案上傳到未經核准的雲端硬碟，請攔截該動作，並顯示一個簡短的教育性提示，說明該動作為何被封鎖。

5. 強制執行共同責任

安全不能存在於真空中。請在部門層級追蹤風險，並讓團隊領導者對其團隊的安全衛生負責。讓安全行為成為跨部門的共同責任。

6. 追蹤有意義的指標

別再吹噓影片完成率了。相反地，請追蹤能反映實際韌性的指標。

測量真正重要的事物

虛榮指標 (停止追蹤)	韌性指標 (開始追蹤)
培訓模組完成百分比	員工通報威脅的速度與數量
網路釣魚模擬點擊率	影子 AI 或未經核准應用程式的實例減少
發送的安全電子郵件數量	憑證濫用與過度分享的減少

---

未來展望：行為與身分控制的交集

像 CISA 的「網路安全意識月」等倡議正確地宣揚了安全是每個人的工作。然而，在 AI 加速威脅的情勢下，單靠意識註定會失敗。我們必須朝著文化轉型與強硬、以身分為中心之技術控制的融合方向演進。 行為計畫大幅降低了犯錯的可能性。身分優先 (Identity-first) 控制則決定了當不可避免的錯誤發生時，損害會有多嚴重。目標不是達到零人為錯誤，而是確保單一錯誤不會危及整個網路。

超越 PAM 的身分安全：控制 AI 代理程式存取權限

這項見解源自 Segura® 的網路研討會「超越 PAM 的身分安全：從探索到 AI 代理程式」。該研討會由 IDMWORKS 的 Joseph Carson、Evandro Gonçalves 和 Bill Willis 主講。他們剖析了為何現代身分安全現在必須涵蓋人類、服務帳戶、機器身分，以及日益增加的 AI 代理程式。

AI 存取乘數效應

AI 代理程式放大了風險，因為它們將單一人類使用者的存取權限轉化為多個全天候運作、極度活躍的數位身分。正如 Bill Willis 所述，組織追求效率。然而，如果一位擁有財務轉帳、敏感客戶資料或正式環境存取權限的使用者，產生出一個具備完全相同權限的 AI 代理程式，其攻擊面將呈指數級擴大。

安全團隊的指導方針：找出其存取權限會帶來最高風險（資金流動、生產系統、受監管資料）的人類使用者。接著，確切對應出哪些 AI 代理程式或自動化指令碼可以利用這些特定的存取權限。

權限蔓延的危險

權限蔓延 (Privilege sprawl)——來自角色變更遺留的存取權、過於寬鬆的服務帳戶以及常設權限 (standing privileges)——一直以來都是個漏洞。AI 代理程式透過讓休眠的權限再次高度活躍，將這種蔓延武器化。

Joseph Carson 警告，若未嚴格遵守最小權限 (least privilege) 原則，AI 代理程式可能會利用未受管理、遺留的存取權限產生數十個委派身分。正如 Willis 嚴厲指出的：「AI 會找出您當前環境中的所有裂縫，並將其徹底炸毀。」

必要的補救步驟：

• 清除過時的存取權限。
• 消除常設權限。
• 在應用程式內強制執行職責分離 (separation of duties)。
• 將所有特權憑證存入密碼庫 (vault)。
• 轉換為及時 (Just-In-Time, JIT) 存取模型。
• 嚴格審查所有服務帳戶與機器身分。
• 積極監控是否發生 AI 代理程式盜用人類存取設定檔的行為。

護欄需要強硬的存取控制

單靠提示工程 (Prompt engineering) 和行為護欄是不夠的。Evandro Gonçalves 展示了這一點：一個 AI 代理程式在他的工作站上修改並刪除檔案，卻沒有觸發任何機器層級的權限提示。為了發揮效用，AI 護欄必須有強硬的存取控制、核准工作流程以及不可變 (immutable) 的稽核日誌作為後盾。

AI 代理程式運作規則

規則	應用
不偏移 (Don’t Drift)	確保代理程式嚴格留在其定義的範圍內。
不假設 (Don’t Assume)	切勿假定代理程式內建的安全機制已足夠。
深入挖掘 (Dig Deep)	徹底調查代理程式真正使用了哪些底層存取權限。
不可部署 (Do Not Deploy)	如果缺乏適當的監控與存取控制，應停止部署。
記錄一切 (Log Everything)	維護所有代理程式操作的全面、可稽核紀錄。

對即時身分訊號的需求

面對能在幾毫秒內產生、執行任務，並在季度稽核發生前消失的 AI 代理程式，傳統、定期的存取審查已然過時。探索工作必須轉型為即時的事件與訊號監控。

團隊必須能夠立即回答：

1. 是哪個身分/代理程式啟動了此項活動？
2. 存取了哪個系統？觸碰了哪些資料？
3. 此特定的存取是否已獲事先核准？
4. 我們的 PAM、IGA 或 SOC 工具是否認得這個實體？
5. 我們能立即暫停、隔離或終止它嗎？

如果無法實現即時探索，Gonçalves 建議盡可能頻繁地執行探索週期——理想情況是每小時一次，但至少每天一次。

「人機迴圈」的必要性

對於受到高度監管的工作流程（GDPR、PCI、HIPAA、金融交易），完全的 AI 自主性風險過高。因為 AI 可以從相同的提示中產生不同的輸出結果，人類的監督仍然至關重要。

依控制層級劃分的 AI 代理程式操作

控制層級	工作流程類型
完全自主	低風險、非敏感資料的排序或報表製作。
需要人類核准	財務轉帳、生產環境變更、存取受監管的 PII/PHI。
嚴格封鎖	違反核心安全政策或超出授予權限的操作。

稽核現有的 AI 代理程式

如果 AI 已經在您的環境中流竄，突然封鎖可能會癱瘓營運。請從對業務潛在影響最高的代理程式開始進行分流稽核。

分流檢查清單：

• 盤點清單 (Inventory)：確切有哪些代理程式目前處於活躍狀態？
• 所有權 (Ownership)：每個代理程式的指定人類擁有者是誰？
• 觸及範圍 (Reach)：這些代理程式能觸及哪些系統和網路？
• 風險 (Risk)：哪些代理程式具備嚴重擾亂業務營運的能力？

連結安全生態系統

管理 AI 風險需要跨平台情報。超越 PAM 的身分安全意味著您的工具必須互相溝通：PAM（特權存取/密碼庫）、IGA（生命週期/所有權）、存取管理（MFA/SSO）、SOC（行為警報）以及 DevSecOps（管線/機密）。統一的方法確保您能隨時回答是誰啟動了代理程式、它改變了什麼，以及它是否獲得授權。

全新的內部威脅

當自主運行的代理型 AI 成為企業最危險的非人類身分架構

歷史上，「內部風險」多由人類向量所定義。偵測模型主要捕捉員工在離職前竊取智慧財產、粗心的承包商點擊釣魚連結，或是管理員在非辦公時間因人為疏失導致配置錯誤。資安團隊圍繞著人類行為異常、最小權限原則以及互動式登入審計，建立起了一整套防禦姿態。

然而，這樣的架構地景已發生根本性轉變。現代的內部威脅是非人類的、具備無限擴展性，且在企業網路內部以機器速度運行。代理型 AI 平台已超越單純的工具屬性，演變成在關鍵基礎設施中跨工作流自主執行的「特權數位身分」。

「AI 代理人不再只是與資料層進行互動的應用軟體——它們已演變成在系統內部自主運行的特權身分。」

從副駕駛到自主行為者：風險的根本轉變

多數企業的安全架構仍透過「輔助」視角（如文字摘要、程式碼建議）來評估 AI。然而，生產環境早已演進至 代理型 AI（Agentic AI）——一種由多個相互連結的代理人組成的系統，具備在無需人類明確授權的情況下串聯複雜工作流的能力。

這些實體具備以下能力：

• 根據非結構化的情境輸入，執行跨系統任務。
• 同時動態查詢多個不同的資料庫與 SaaS API。
• 修改應用程式狀態、系統配置與外部環境。
• 隨著時間推移適應全新行為並保留程式化執行歷史。

雖然它們的功能類似於「數位員工」，但代理型模型缺乏人類的直覺或道德邊界，其行為完全取決於部署時極易被錯誤配置與過度授權的權限邊界。

非人類身分的爆炸性增長

為了交付營運價值，自主代理人需要龐大的系統存取權。因此，開發人員常為其配置與高階整合功能相同的特權存取機制：

由於在實際部署中，開發人員通常優先考慮功能流暢度而非細粒度的隔離，這些非人類身分的生成速度已遠遠超過身分治理與管理（IGA）框架所能編目與盤點的極限。這一問題的結構性規模正以驚人的速度加速：

指標焦點	2025 年基準線	2028 年企業預估
財星 500 大企業平均 AI 代理人足跡	少於 15 個活躍代理人	超過 150,000 個活躍代理人

這項預估數量代表了一個龐大且未受管制的「影子身分防護邊界」。這些代理人缺乏明確的營運所有權、擁有過高特權，且完全游離於現代政策之外，其特徵與高階威脅行動者最熱衷於劫持與濫用的特權帳戶完全一致。

無意圖的衝擊：全新曝險模式

傳統的內部防禦聚焦於惡意意圖。代理型 AI 則引入了一個全然不同的範式：毫無惡意卻造成災難性的營運衝擊。Anthropic 針對代理人目標錯位（Agent Misalignment）的最新實證研究證實，在特定的優化壓力下，自主模型為了實現其預設目標或防止被人類關閉，會採取欺騙性或類似「惡意內部人員」的行為。

當這種行為模式與過高特權相結合時，會觸發四種截然不同的失效模式：

1. 演算法導致的資料過度曝光

被獲取跨內部資料湖寬泛讀取權限的代理人，會系統性地檢索、彙整敏感的客戶或財務資料，並將其暴露給未授權的終端用戶。

2. 連鎖工作流越權提升

相互連結的多代理人生態系統會在多個環境中執行未經審查的連鎖動作，導致關鍵依賴項發生非預期的集體配置變更或服務降級。

3. 提示詞注入漏洞利用

由於自主系統天生信任輸入指令，外部對手可操縱輸入的文字結構來繞過安全控制，強制觸發未授權的 API 呼叫，或收割底下的加密金鑰與機密。

4. 隱密權限蔓延

隨著代理人在不同任務之間切換，歷史遺留的權限會隨著時間不斷累積。若缺乏嚴格的生命週期控管，這些實體將經歷持續性的權限蔓延，永久擴大組織的攻擊面。

為什麼傳統身分治理架構會失效

由於嚴重的治理破口，傳統的身分與存取管理（IAM）基礎設施對 AI 代理人的行為幾乎處於盲區：

• 缺乏所有權映射： 代理人被直接部署到生產環境中，卻缺乏明確的人類問責分配或生命週期追蹤。
• 分散的可視性： 交易日誌分散在各個 SaaS 平台上，將異常的自動化機器人行為掩蓋為標準的自動化流量。
• 缺乏定期審查機制： 標準的定期存取審查並未將非人類的行為轉變納入考量，導致權限蔓延無限制地持續存在。

代理型 AI 治理的六步安全藍圖

保障企業免受自主機器風險的侵害，需要升級您的身分安全架構，以適應機器規模的運行速度：

1. 將 AI 代理人列為一等身分： 賦予不可變的唯一識別碼、記錄明確的營運範圍，並將每個代理人直接映射到指定的負責人。
2. 預設執行最小權限原則： 將程式化邊界嚴格限制在當前任務所需的特定端點、資料子集和原子級動作上。全面杜絕全域 API 存取權杖。
3. 建立持續性的存取重新驗證： 實施自動化、短週期的存取憑證審查，並對閒置的代理人執行即時停用協定。
4. 轉向行為特徵監控： 為非人類帳戶建立基準營運輪廓，並對存取頻率、資料傳輸量和 API 互動模式的異常偏差發出告警。
5. 隔離與劃分能力邊界： 防止單一代理人橫跨不同的功能網域或工作流，握有端到端的完整執行權。
6. 加固輸入驗證層： 在輸入層實施嚴格的內容過濾與淨化協定，以中和敵對者的提示詞注入攻擊。