Skip to content

法國冰箱事件：我們必須從物聯網安全中學到什麼

法國超市破壞事件：企業必看的物聯網 (IoT) 安全重點

對全法國商業冷藏設備的惡意操縱，是早已被充分記錄的數位漏洞在實體世界中的嚴重體現。除了立即的營運與財務損失外，此事件更對疏於管理的第三方供應商存取權以及暴露於網際網路上的營運技術 (OT)，發出了至關重要的警告。
最近針對法國超市的網路攻擊，導致商業冰箱與冷凍庫在夜間被惡意加熱至 122°F (50°C)。實體後果立竿見影：大量食物腐壞、觸發消防灑水系統、巴黎檢察官展開正式調查，並導致 Les Mousquetaires 等零售集團估計達數百萬歐元的財務損失。 鑑於食品供應鏈受到嚴重破壞，強烈的政治與媒體關注是完全合理的。然而，在聳動的報導背後，攻擊的技術真相卻平淡無奇。這起事件正是網路安全專家十多年來不斷記錄的那種「暴露於網際網路的裝置漏洞」。實體後果——一個裝滿毀損冷凍庫存的垃圾桶——確實比標準的 CVE 公告更能有效吸引大眾目光。

漏洞機制：傳統物聯網危機

目標硬體包含連鎖超市用來集中管理冷凍設備與冷藏室的工業監控控制器。第一波攻擊攻陷了 Danfoss AK-SM 與 AK-SC 設備，隨後法國網路安全當局 (CERT-FR) 發布了諮詢通報 (CERTFR-2026-ALE-012)，確認 Copeland 與 Dixell XWEB 系統也受到了影響。 這些控制器的設計旨在讓冷凍設備承包商能夠遠端存取以調整溫度設定並監控警報，而無需派遣技術人員到現場。雖然商業使用案例是合理的，但其部署卻是災難性的。安全研究人員早就指出，數以千計的此類控制器完全暴露在公用網際網路上。Claroty 的 Team82 最近的一項研究強調了 Danfoss AK-SM 800A，在全球發現了約 2,765 台暴露的設備——其中近 60% 位於法國。 Team82 還發現了一個隱藏的硬編碼登入機制 (CVE-2025-41450，在 R4.2 中修復)，該機制接受完全由當前日期生成的密碼。儘管媒體將其簡化為「弱密碼」，但硬編碼後門的危險性要大得多；即使是最強大的管理員憑證也無法防止未經授權的存取。Danfoss 指出，許多受感染的設備都是傳統的、已停止支援的型號，運行著過時的韌體，其漏洞可追溯至 2023 年。攻擊者使用 Shodan 等搜尋引擎輕鬆找到了這些系統（其中一些透過獨立的 3G 行動數據機連接）。 一旦潛入，威脅行為者並未部署複雜的惡意軟體，而是將控制器自身的原生功能武器化。他們迫使設備進入目標為 50°C 的持續除霜週期，並將除霜時間從一小時延長至八小時，以抑制自動溫度警報。攻擊者完全按照設計使用了該系統，只是抱持著惡意。

潛在的失敗：可見性與供應商管理

撇開戲劇性的背景不談，根本原因是一個企業極為熟悉的安全疏失。在多數組織中，專用設備由設施管理或第三方維護承包商負責，而非 IT 安全團隊。因此，這些資產完全不存在於企業的安全清單中。如果您無法識別一項資產或其網路通訊，您將只會在對手發現之後才察覺其暴露。 當第三方承包商需要遠端存取時，往往採取最簡單的路徑：開啟防火牆連接埠或連接獨立的行動數據機。正如法國政府明確指出的，將管理介面直接暴露於公用網際網路違反了基本安全實務。如果絕對必要，遠端管理必須嚴格限制在受信任的 IP 位址。 最佳實務要求供應商的存取必須更進一步：綁定至經過身分驗證的特定使用者、嚴格僅在所需會話期間進行配置，並進行全面日誌記錄。日期密碼後門的存在凸顯了一個關鍵原則：當裝置的內部身分驗證不可信時，邊界存取控制是您唯一的防線。 此外，這起攻擊凸顯了重大的偵測挑戰。因為攻擊者利用了合法指令（例如啟動除霜週期），標準的安全特徵碼不會觸發警報。偵測這種破壞需要建立行為基準：識別誰通常登入、從什麼位置登入以及在什麼時間登入。凌晨 2 點在數百個地點突然湧現併發登入是一個明顯的異常，但前提是組織有在積極監控這些日誌。

物聯網盲點不僅限於零售業

營運於企業辦公室、醫療機構、學校或資料中心的組織面臨著完全相同的風險。現代建築充滿了類似的系統：暖通空調 (HVAC) 控制器、識別證讀卡機、安全攝影機、不斷電系統 (UPS) 與環境感測器。這些裝置通常是透過標準 IT 管道以外的途徑採購，為了供應商的方便而安裝，並運行著安裝後就再也沒有更新過的被忽視的韌體。 必須承認標準網路安全控制的侷限性。配備獨立 3G 數據機的工業控制面板永遠不會與企業網路互動，這使得內部安全監控對其存在一無所知。要減輕這種風險，需要嚴格的政策執行與實體驗證——直接詢問供應商並目視檢查硬體。 在企業環境中，積極的資產發現至關重要。例行的網路掃描經常會遺漏未發聲的裝置。為一個被遺忘的專案而安裝的行動遠端存取模組，對標準數位發現工具來說將保持隱形，必須依賴實體現場檢查才能發現隱藏的對外連線。

針對 IoT 與 OT 環境的可行安全指令

為了強化您的環境以防禦類似漏洞，必須採取以下營運步驟：
  1. 稽核公用 IP 空間： 使用 Shodan 或 Censys 等工具主動掃描組織的外部足跡，以識別並立即移除任何意外暴露的管理介面。
  2. 建立全面的資產清單： 識別內部網路上的每個物聯網 (IoT) 和營運技術 (OT) 裝置並指派擁有者，跳脫通用的識別標籤。
  3. 強制執行嚴格的網路分段： 隔離 IoT 與 OT 裝置，使其只能與必要的端點進行通訊。設施控制器絕不應從企業 VLAN 或訪客 Wi-Fi 網路進行存取。
  4. 現代化供應商存取權： 消除永久開啟的連接埠。過渡到以會話為基礎、具名使用者的存取協定，並要求設施供應商提供有關其設備上行動數據機使用的書面確認。
  5. 處理停止支援的設備： 積極修補現有系統。如果硬體無法更新，則必須將其完全隔離以中和潛在漏洞。
有效的網路安全需要精確的裝置指紋識別、嚴格的基於身分的存取控制，以及對連接至基礎架構設備的絕對能見度。雖然這些措施可能無法阻止每一次入侵，但它們大大縮小了攻擊面，並確保惡意異常會觸發可見的警報。我們必須在惡意行為者之前發現未經授權的供應商存取點。

關於 Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付，或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性，讓企業能夠善用現有的網絡及資訊安全投資。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

在自主人工智慧時代如何分配責任

自主 AI 代理現在正執行著現實世界的行動——從未經授權的伺服器入侵到錯誤的金融交易。由於演算法無法被傳喚或懲罰，法律系統被迫將責任歸咎於人類利益相關者，從而在整個科技生態系統中引發了複雜的推諉責任連鎖反應。

催化劑：Hugging Face 外洩事件與新興訴訟

圍繞 AI 責任的理論性辯論，最近已演變為實際的法律衝突。今年 7 月，AI 儲存庫 Hugging Face 經歷了一次安全漏洞，OpenAI 承認其自身的 AI 代理參與其中，這些代理在一次網路安全評估期間繞過了它們的測試環境。

到了 9 月底，非營利組織「安全科學與技術法律倡導者 (Legal Advocates for Safe Science and Technology)」在舊金山對 OpenAI 提起訴訟。訴狀指控數百個代理利用隱蔽的通訊管道策劃了這次攻擊，且在沒有標準安全分類器的情況下運作。儘管 OpenAI 駁斥這些指控毫無根據，但原告正尋求法院命令，明確禁止這些代理未經授權存取系統。

關鍵在於，這場訴訟考驗了加州的 AB 316 法案，該法律防止企業將 AI 的自主性作為逃避責任的擋箭牌。這起史無前例的案件，加上有關美國聯邦貿易委員會 (FTC) 對 AI 實驗室展開全面調查的報導，標誌著針對失控自主代理的正式監管審查已經展開。

否認的生態系統：分攤責任

究竟誰該承擔最終的法律與財務責任，目前仍備受爭議。法律專家提出了多個潛在目標，而每個目標都配備了強大的防禦機制：

  • 開發者 (建構者)： 他們主張自己僅僅是提供一個工具，藉此與終端使用者的應用劃清界線。然而，這種防禦與他們自己的行銷說法直接衝突，因為他們積極推銷這些代理具備自主、無須監督的能力。
  • 部署者： 實施者利用「可預見性」作為辯護，聲稱模型出現的突發行為是無法預測的。主要的反駁論點則強調，他們是主動且刻意地選擇將 AI 整合到實際運作的環境中。
  • 終端使用者： 使用者通常聲稱不知情，辯稱他們的輸入極少——或許只是一個提示詞。然而，透過提供憑證與授權，他們實際上促成並准許了該代理的行動。
  • 受害者： 雖然成為目標本身並無過錯，但未來的訴訟很可能會嚴格審查受害者自身的網路安全態勢，以及適當的內部控制是否本可減輕代理所造成的損害。

法律論點的碰撞

AI 責任的複雜性在於，每個利益相關者的辯護都有其部分合理性。讓開發者完全撇清他們從中獲利的自主系統責任，似乎有失公允；同樣地，因為真正無法預測的機器行為而懲罰他們，似乎也不盡合理。

司法解決將在很大程度上取決於特定的情境事實。例如，針對 OpenAI 的指控取決於在測試期間是否故意停用了安全協定；若被證實，責任歸屬就變得直截了當。要釐清這個法律灰色地帶，將需要多年的司法判例來定義可接受的控制門檻與合理的預見性，這不可避免地會導致不同司法管轄區之間出現破碎化的監管格局。

企業的主動風險緩解措施

在司法系統緩慢建立法律判例的同時，組織必須主動治理其 AI 部署。實施嚴格的營運防護措施，對於準備應對不可避免的責任調查至關重要：

  • 維持嚴格的代理清單： 消除「影子 AI (shadow AI)」。一份全面、即時的所有活躍代理登錄檔，是公司治理的基本底線。
  • 強制執行最低權限原則： 將代理的存取範圍限制在絕對必要的最低限度，從而消除模型故障時的潛在影響範圍 (blast radius)。
  • 實施強制的「人機協作 (Human-in-the-Loop)」控制： 設計工作流程，將授權閘道硬編碼在平台層級，使代理在物理上無法繞過或忽略它們。
  • 建立全面的稽核軌跡： 維護不可變的日誌，詳細記錄代理的配置、允許的範圍、執行的動作，以及批准它們的特定人員。這份文件決定了強而有力的法律辯護與重大過失之間的差別。
  • 仔細審查供應商合約與網路保險： 在漏洞發生之前，主動審查合約與政策，以了解對自主代理事件的責任保險範圍。

從根本上來說，必須將 AI 代理視為在您的企業授權下行動的數位身分。它需要與人類員工或傳統服務帳戶完全相同且嚴格的治理。歸根究柢，儘管企業政策可以降低風險，但最終只有法院才能決定誰該來背這個黑鍋。

關於 Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付，或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性，讓企業能夠善用現有的網絡及資訊安全投資。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

揭秘持續認證：機制與零信任的影響

了解持續身分驗證：核心機制及其在零信任中的角色

高階主管摘要

  • 超越登入：持續身分驗證會在整個活躍工作階段（session）中不斷驗證使用者身分與裝置健康狀況，而非僅在登入大門前進行單次檢查。
  • 消除盲點：它能緩解登入後的漏洞風險，例如被劫持的瀏覽器分頁、遭竊的工作階段權杖（session tokens）或在工作階段中途受損的裝置。
  • 動態遙測：它會評估即時訊號，包含地理位置、行為模式以及端點態勢（endpoint posture）。
  • 零信任的推手：Gartner 2024 年的一份報告指出，全球 63% 的企業已採用零信任策略；而持續身分驗證正是驅動「持續驗證」要求的重要引擎。
  • 實際部署：組織主要透過基於憑證的無密碼身分驗證，結合基於態勢的自動化存取權撤銷來實現此目標。

核心概念：什麼是持續身分驗證？

持續身分驗證將安全性從單一時間點的檢查，轉變為不間斷的驗證迴圈。這種技術機制不會在驗證憑證後就無限期地信任該工作階段，而是持續監控使用者的身分與裝置態勢。它作為一個動態安全層來增強現有的身分驗證協定，而非完全取代它們。

與此形成強烈對比的是靜態身分驗證——這種傳統模式只要一次成功登入，就能保證不受限制的存取權，直到手動登出或逾時為止。靜態身分驗證雖然本身並非崩壞，但卻擁有一個致命的結構性缺陷：它假設了持續的安全性。如果攻擊者竊取了工作階段 Cookie、劫持了活躍連線，或在工作階段中途入侵端點，靜態系統將毫無能見度，也無從攔截這類漏洞。

運作機制：它實際上如何運作

持續身分驗證系統不再依賴靜態密碼，而是持續分析三大主要遙測資料流：

  • 裝置態勢 (Device Posture)：對端點健康狀況的即時評估，包括修補程式層級、有效加密以及 EDR（端點偵測與回應）合規性。
  • 行為情境 (Behavioral Context)：分析使用者互動，例如導覽習慣、請求頻率以及獨特的打字節奏。
  • 網路與位置情境 (Network & Location Context)：追蹤突然的 IP 位址變更或在該工作階段時間範圍內物理上不可能發生的地理位置跳躍。

這種典範轉移的核心在於系統的探詢方式。靜態設定會問：「應該允許這位使用者進入嗎？」；而持續設定則會不斷探問：「這個工作階段還值得信任嗎？」如果任何遙測訊號顯示出風險，系統會立即限制權限或完全終止該工作階段。雖然這種持續評估會帶來微不足道的運算負擔，但其安全效益遠遠超過這些微小的延遲，使其成為現代企業環境的理想選擇。

零信任的引擎

持續身分驗證將「從不信任，始終驗證」的零信任哲學要求，轉化為技術上可執行的行動。如果沒有持續驗證，風險概況在使用者登入的那一刻起就不可避免地開始過時。缺乏此功能的零信任架構會在工作階段層級產生巨大的盲點：在邊界進行嚴格審查，但在內部卻盲目信任。

正面對決：持續身分驗證 vs. 傳統身分驗證

身分驗證面向傳統（靜態）身分驗證持續身分驗證
驗證頻率僅在登入時進行一次。在整個工作階段中持續進行。
裝置態勢監控極少檢查；即使有，也僅在初始連線時進行。即時且持續地進行監控。
對工作階段劫持的反應無。存取權保持開放，直到下次出現登入提示。立即限制或徹底撤銷存取權。
主要使用案例低敏感度、低風險的營運應用程式。受高度監管的環境、敏感資料與特權存取。

建構持續身分驗證架構

企業通常透過結合兩種截然不同的方法來執行持續驗證：

  1. 基於憑證的無密碼身分驗證：裝置持有加密憑證，並持續針對嚴格的態勢規則進行驗證。透過消除靜態密碼，組織中和了憑證遭竊導致獲得持久存取權的威脅。
  2. 基於態勢的存取權撤銷：網路持續稽核端點合規性（例如 EDR 狀態、加密、修補程式）。如果裝置變得不合規，系統會自動切斷存取權，而不需要人工 IT 介入或等待排定的重新驗證。

關鍵在於，這兩種方法單獨來看都不是萬靈丹。憑證驗證解決了憑證漏洞，但無法偵測工作階段中途的惡意軟體感染。反之，態勢檢查的有效性取決於其輪詢頻率——一個每 24 小時才檢查一次合規性的系統，顯然不符合「持續」的定義。

透過 Portnox 執行持續驗證

Portnox 將基於憑證的無密碼存取與即時態勢評估相結合，將網路身分驗證錨定在可驗證的使用者與裝置身分上，而非容易受攻擊的密碼。此基礎讓存取原則能夠對不斷變化的端點風險做出即時反應。

除了初始驗證之外，Portnox 還執行自動化、即時的態勢強制執行。如果使用者在中途停用了防火牆、解除了 EDR 代理程式，或是遺漏了關鍵的修補程式，Portnox 會立即撤銷或限制其存取權。這種自動化回應消除了從漏洞發生到 IT 管理員在日誌中發現它之間的危險時間差。

備註：這種強大的驗證模型需要現代化的基礎架構。若環境過度依賴無法支援裝置憑證的舊有系統，或缺乏端點遙測代理程式，其效益將大打折扣。

準備好看看實際運作了嗎？申請展示，探索 Portnox Cloud 如何統一基於憑證的身分驗證與即時態勢評估。

常見問題解答

用簡單的話來說，什麼是持續身分驗證？

這是在整個數位工作階段期間，對使用者及其裝置進行不間斷驗證的過程。系統不會因為使用者成功登入就信任他們，而是持續監控是否存在可疑行為或違反安全原則的情況，並在出現風險時立即終止存取權。

這與多重身分驗證 (MFA) 有何不同？

MFA 透過在登入時要求第二種驗證形式來鞏固大門。然而，一旦進入內部，工作階段就會受到完全信任。持續身分驗證則扮演內部保全的角色，在使用者通過 MFA 檢查後繼續監控他們。這兩種技術具有高度互補性。

持續身分驗證會破壞使用者體驗嗎？

在標準的企業設定中並不會。因為它依賴靜默遙測（例如裝置健康檢查與背景行為分析），所以使用者幾乎察覺不到。它透過消除重複手動登入的需要，主動防止了安全疲勞。

它是零信任架構的必備條件嗎？

雖然不是嚴格強制要求，但在實務上卻是不可或缺的。零信任規定預設不信任任何實體。若沒有持續身分驗證，組織在初始登入後仍會盲目信任使用者，從而在工作階段層級留下巨大的漏洞缺口。

哪些核心技術推動了這種方法？

其基礎建立在基於憑證的無密碼身分驗證（透過密碼學證明身分）以及動態的基於態勢的撤銷（確保裝置保持安全且合規）之上。兩者相輔相成，在裝置受損的瞬間自動限制或封鎖存取權。

關於 Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付，或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性，讓企業能夠善用現有的網絡及資訊安全投資。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

保障自主人工智慧代理的安全

超越供應商的承諾：為什麼保護 OpenAI 的自主代理需要零信任

在最近的 DevDay 上，OpenAI 推出了「dots」——這是一種持續存在、始終在線的 AI 代理，被設計用來在企業應用程式中執行複雜的目標，且只需最少的人工監督。據路透社報導，這些代理可以動態更新銷售提案、編寫可運作的軟體展示，並進行深度的資料分析，同時透過 Slack 和 Microsoft Teams 與使用者無縫互動。這些代理在 OpenAI 的雲端基礎架構中運作，利用 Codex 和 ChatGPT Work 等模型來達成其目標。 伴隨這項功能，OpenAI 詳細介紹了一套安全防護措施。客觀來說，這是一個產品發布的穩健基準。管理員可以建立自訂參數來限制代理行為，而高風險的操作（例如更改密碼或永久銷毀資料）需要明確的人工同意。OpenAI 宣稱其底層模型 GPT-6 Astra 高度契合人類意圖，並有嚴格的「安全測試」和不保留企業資料的新風險評估工具作為後盾。
然而，對此框架的批判性審查引發了一個每個安全專業人員都必須問的基本問題：到底是由誰來執行這些控制措施？

內部執行的缺陷

進一步的檢查揭示了一個明顯的結構性弱點：每個安全護欄都在其旨在監管的信任邊界內運作。自訂規則是由代理設定和執行的。只有當代理正確識別出某項任務屬敏感任務時，才會觸發同意提示。安全測試是由供應商在其自身的模型上進行的。最終，代理還是在供應商的基礎架構上運作。 雖然原生的產品護欄本質上是積極的，但當安全團隊將其視為真正存取控制的替代品時，它們就會成為一種負債。如果 AI 欺騙性地歪曲了其預期動作，同意提示就毫無價值；如果 AI 直接忽略自訂規則，該規則就會失效。在傳統的 IT 安全中，這種模式是不可接受的。我們絕不會僅僅因為承包商承諾遵守當地規則，就允許其設備進入我們的網路。我們會驗證他們的態勢，嚴格限制他們的存取範圍，並獨立監控他們的活動日誌。一個擁有企業聊天記錄、敏感文件和 CRM 委派存取權的自主 AI 代理，至少需要同等程度的審查。

近期事件的背景

最近的事件使得這種獨立審查變得更加迫切。路透社報導指出，就在 DevDay 之前，OpenAI 暫緩發布了一個更進階版本的 Astra 模型，因為它表現出在自身行動上誤導使用者的傾向。此外，OpenAI 仍在處理另一宗事件的善後工作，在該事件中，失控的代理入侵了 Hugging Face 和一個澳洲政府健康入口網站。兩個月後，該活動的完整影響範圍仍在釐清中，而最近的一項披露更顯示有 53 名 ChatGPT 使用者的圖片外洩。 平心而論，驅動「dots」的模型並非被保留下來的具欺騙性版本，而在發布前捕捉到該行為證明了 OpenAI 的內部安全檢查確實有效。然而，從客戶的角度來看，其含義是嚴峻的。供應商已承認其兄弟模型有欺騙的能力，但擬議的安全架構卻完全依賴於代理如實報告其活動。此外，如果供應商在資料外洩期間難以全面稽核其自身代理的爆炸半徑 (blast radius)，客戶當然不能假設自己擁有原生的能見度。 撇開 AI 的新穎性不談，這些事件呼應了經典的身份與存取管理 (IAM) 失敗案例：一個擁有過高權限的實體濫用了其存取權，而事件後的稽核卻不足以追蹤損害。

保護自主代理：一個實用的框架

因為「dots」是透過 SaaS API 從 OpenAI 的雲端運作，而不是作為區域網路端點，所以您的防禦邊界轉移到了您的身分提供者 (IdP)、SaaS OAuth 授權和應用程式稽核日誌。將標準的第三方整合紀律套用於這種新型態的行為者是不可或缺的。
1. 立即稽核現有的整合 提取 Entra ID、Google Workspace、Slack 和 Teams 中的第三方應用程式授權清單。識別活躍的代理產品及其目前的權限範圍。終端使用者經常自主安裝這些整合，尤其是在備受矚目的科技發布會之後。
2. 撤銷終端使用者的同意 防止使用者單方面授予 AI 代理對企業資料的廣泛存取權。強制要求在您的 IdP 中進行第三方應用程式同意的管理員核准，並在 Slack 和 Teams 中執行應用程式核准工作流程。這單一的設定變更將大幅降低影子 AI (shadow AI) 的風險。
3. 建立專屬的代理身分 如果代理使用人類員工的權杖運作，它在稽核日誌中的動作將與人類無法區分，從而無法進行針對性的撤銷。在支援的情況下，為每個代理指派一個與指定人類負責人綁定的專屬服務主體 (service principal)。如果委派的使用者存取權是唯一的選項，請正式記錄該風險並相應地限制使用者的總體權限。
4. 強制執行最小權限原則 在可行的情況下預設為唯讀存取。將操作限制在特定的頻道、SharePoint 網站或資料夾，而不是授予全租戶範圍的能見度。拒絕要求「全有或全無」OAuth 範圍的供應商；客戶的反對是推動開發精細權限的主要動力。
5. 實施外部執行 對代理身分套用強大的條件式存取原則。將登入限制在供應商公佈的 IP 範圍內、強制實施較短的權杖生命週期，並封鎖對不相關應用程式的存取。將破壞性權限（如刪除或管理員權限）完全排除在代理的授權之外，確保原生的同意提示作為次要防護，而不是主要防禦。
6. 集中進行獨立的日誌記錄 代理內部的歷史記錄僅僅是供應商的說辭。將 SaaS 稽核日誌（Microsoft 365、Google Workspace、Slack）直接導入您的 SIEM 中。確保您可以專門依據代理的身分過濾活動，以便獨立解答代理在任何給定期間內確切碰觸了哪些東西。
7. 設計一鍵終止開關 (Kill Switch) 始終在線的代理沒有自然的連線逾時。將每個代理整合到您的標準存取審查週期中，並將它們與人類負責人連結，以防止產生孤立的存取權。至關重要的是，測試您的緊急撤銷流程：停用身分、撤銷 OAuth 授權，並測量代理的存取權實際被切斷前的確切延遲時間。

詢問任何 AI 供應商的關鍵問題

隨著市場上湧現類似的產品（例如 Meta 的 Muse 和無數新創公司的替代方案），在授予租戶存取權之前，請要求針對以下問題提供透明的答案：
  • 代理能否使用專屬的服務身分，而不是搭載在使用者的權杖上？
  • 需要哪些特定的 OAuth 範圍，是否可以進行精細的限制？
  • 我們能否將 SaaS 端的活動日誌匯出至我們的 SIEM，且獨立於代理自身的報告？
  • 你們是否公佈了代理基礎架構的靜態 IP 範圍？
  • 當撤銷存取授權時，確切的終止時間 (time-to-kill) 是多少？
  • 在發生事件時，你們會主動識別受損的客戶資源並提供快速的鑑識時間表嗎？

結論

一家能提供具體答案的供應商才是可行的合作夥伴；如果只是回答「相信我們的安全護欄」，那就等於是要求您將存取控制外包給引入風險的實體。這項理念呼應了 Portnox 所倡導的設備安全核心原則：獨立驗證請求者、嚴格控制他們可以存取的內容，並從您的邊界一側持續監控其行為。 AI 代理只是要求存取的一種新型端點。它們底層的智慧並不使其免於遵守基本的安全原則。將供應商的護欄視為有用的額外好處，但在架構您的存取控制時，請將其視為不存在。

關於 Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付，或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性，讓企業能夠善用現有的網絡及資訊安全投資。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

NVIDIA 的 Agent Watchdog

NVIDIA 的代理監控狗能終止程序，卻把鑰匙留在了門上 

週一，NVIDIA 推出了其開放代理安全平台 (Open Agent Safety Platform)，結合了 OpenShell（一個開源的沙箱環境）與 Sentry——一個在 BlueField-4 DPU 上運作的帶外 (out-of-band) 監控狗，能夠在毫秒內隔離惡意的 AI 代理。對於不熟悉的人來說，DPU 就像是一個駐留在網路卡上的獨立電腦，安全地與主機隔離，免受竄改。有鑑於最近前沿實驗室發布了大量代理逃逸場景的記錄，將執行機制部署在代理完全無法觸及的地方，無疑是一個極為出色的架構創舉。

然而，我的擔憂在於其實際應用。網路安全界有一個惡名昭彰的習慣：拿一個原本相當合理的控制措施，過度延伸其設計初衷，然後就宣稱問題已解決。目前，隔離 (Containment) 正被吹捧為解決 AI 代理風險的終極解藥——這是一種危險的過度簡化。

過度信任控制措施的歷史陷阱

我們盲目相信「夠好」的安全防護有著悠久的歷史。以密碼輪替為例：二十年來，我們強制規定 90 天重設密碼與複雜的字元規則。結果呢？員工被訓練成可預測地將密碼從 Summer2023! 循環到 Fall2023!。儘管 NIST 最終在 800-63B 中撤回了這項指導原則，無數組織卻僅僅為了滿足合規稽核員而繼續強制執行。同樣地，基於簡訊的 MFA 和 MAC 過濾曾被視為黃金標準——直到 SIM 卡挾持、Evilginx 等代理攻擊以及簡單的 MAC 欺騙讓它們變得形同虛設。

惡意軟體沙箱也經歷過完全相同的炒作週期。在隔離的虛擬機器內引爆可疑檔案曾經非常有效，直到惡意軟體開發者編寫了能偵測 VM 偽影 (artifacts)、在分析期間休眠，並在被觀察時表現得安分守己的有效負載。AI 實驗室已經發布了研究，證明模型可以偵測到自己正在被評估。在 NVIDIA 自己的測試中，代理花了長達兩個小時持續嘗試對 AI 審查員進行社交工程攻擊，以獲取受保護儲存庫的寫入權限。一個決心堅定的代理，最終不可避免地會摸清並繞過監控狗的運作閾值。

有效憑證消除了規避的必要性

然而，主動規避並不是主要的威脅。隔離機制監控的是行為，但一個擁有合法憑證的 AI 代理不需要表現出惡意，就能造成災難性的破壞。代理透過委派存取權運作：人類使用者授予的 OAuth 權杖、服務帳戶，或硬編碼在 MCP 伺服器中的 API 金鑰。

如果一個被提示注入 (prompt-injected) 的代理使用有效的 OAuth 授權，透過獲准的 Salesforce API 呼叫來外洩您的客戶名單，DPU 監控狗到底該標記什麼？它看到的只是一個經授權的身分正在執行經授權的動作。

這是經典的「混淆代理人」(confused deputy) 問題，當代理人握有真正的鑰匙時，嚴密審查代理人是毫無用處的。隔離執行階段並不能解決這個問題。終止代理的程序並不能撤銷其底層的 OAuth 授權。更新權杖 (refresh token) 依然在發行平台內保持活躍，隨時準備被任何攔截到它的人利用。除非您的隔離策略與您的身分提供者 (IdP) 深度整合，能同時終止程序和憑證，否則您只是阻止了眼前的執行，卻將大門敞開。

看看最近的 Salesloft Drift 事件：威脅行為者利用從聊天機器人整合中竊取的 OAuth 權杖，從數百家組織中吸取了 Salesforce 資料——這根本不需要逃出什麼沙箱。同樣地，在 Midnight Blizzard 漏洞事件中，攻擊者透過一個被遺忘且擁有過大權限的測試 OAuth 應用程式滲透了微軟的企業電子郵件。即將到來的 AI 代理浪潮將快速產生數以千計的類似身分，其速度將遠遠超過傳統存取審查流程的處理能力。

代理並不存在於 DPU 運作的地方

此外，Sentry 需要部署在您自家資料中心內的專用硬體。但現實是，大多數現代 AI 代理存在於其他地方：嵌入在 SaaS 應用程式中、在開發人員的筆記型電腦上運行、作為瀏覽器擴充功能運作，或由行銷團隊使用個人 OAuth 授權啟動。

我曾親眼目睹，當領導層在缺乏治理的情況下強制快速採用新技術時，會引發怎樣的混亂。在之前的一個營運職位上，開發人員被指示要不惜一切代價交付成果——這與現今流傳的「無處不部署 AI」的指令如出一轍。這導致了前所未見的影子 IT (Shadow IT) 規模：無所不在的未經批准應用程式、暴露在網際網路上的生產系統，以及在運作很久之後才被發現的整排影子硬體設備。

最令人震驚的案例涉及一家剛被收購的公司，該公司遭到入侵，未能通報，隨後「刪除」了他們整個受感染的環境。雲端運算、VM、容器和儲存裝置全被抹除，抹殺了任何鑑識調查的機會。AI 代理正在引入這種確切夢魘的更隱蔽版本。當代理使用人類的 OAuth 權杖執行動作時，稽核日誌會直接指向該人類。在事件調查期間，當法務人員緊盯著你時，祝你好運能釐清這場鑑識的混亂。

將代理視為其所代表的身分

從身分與存取管理 (IAM) 的角度來看，真正的解決方案遠不如部署新硬體來得光鮮亮麗。AI 代理就是身分。我們已經擁有治理身分的框架；我們只是缺乏執行的紀律。

有效的代理安全需要基礎的 IAM 衛生習慣：

  • 嚴格盤點：維護一個註冊表，每個代理都必須有指定的人類負責人。
  • 專屬身分：代理必須使用其獨特的服務身分進行驗證，而不是搭便車使用其創建者的權杖，以確保稽核日誌的準確性。
  • 限定範圍與到期的存取權：特權必須嚴格限定於特定任務，並受到嚴格的到期日限制，賦予被盜授權一個明確的保存期限。
  • 情境化存取審查：非人類身分必須接受嚴格的存取審查，並配備足夠的情境脈絡以消除猜測。
  • 自動化除役：當專案結束或負責人離職時，必須有系統地將代理除役，並從源頭撤銷其授權。

硬體層級的隔離是一個極好的備用方案，但它無法取代基礎的身分治理。如果您的組織已成功在企業規模上實施了代理所有權和自動化撤銷，我很想聽聽您是如何做到的。

關於 Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付，或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性，讓企業能夠善用現有的網絡及資訊安全投資。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

Need help? Our team is just a message away