AI Agent 安全風險全解析｜個資、企業資安與自動化工作流有何分別？

AI時代的網路安全問題已經從傳統的「病毒、黑客、釣魚電郵」演變成更複雜的威脅。當生成式AI和AI Agent普及之後，安全的核心問題不再是「有人入侵你的電腦」，而是變成「你的資料去了哪裡、誰可以獲取、AI能不能代你做決定、它有沒有權限化電郵、讀文件、登入後台、修改資料」。最嚴重的是，AI的錯誤不再只是文字層面的失誤，而是可以變成真實的經濟損失和法律後果。

從個人角度看，資料安全的最大盲點不在單一的身份證號碼或電話，而在「上下文」。人們常常為了提高效率，把病歷、入息、合約、感情問題、公司內部文件、客戶名單、報價單、會議記錄、WhatsApp對話等資料一次性貼入AI工具進行整理。表面上只是請AI幫忙改寫或翻頁，但實際上已經把能夠重建整個生活和工作狀態的完整資料交了出去。一份報價單未必敏感，一通電話號碼也未必能造成傷害，但當電話號碼、公司名、職位、客戶名稱、金額、內部決策、付款狀況和投訴內容同時出現時，就不再是普通文字，而是一個完整的風險畫像。因此，個人資料安全的第一原則不是「完全不用AI」，而是「不要輸入不必要的真實資料」——能改名就改名、能刪除電話就刪除、能遮盖地址就遮盖。更重要的是，用戶應該問清楚資料在AI系統內會經過哪些地方、誰有權看見、保留多久、能不能刪除、會不會被其他工具調用。

AI詐騙則呈現另一種威脅。傳統詐騙電郵容易看出破綻（中文生硬、格式奇怪、稱呼錯誤），但現在AI可以根據一個人的社交媒體、公開留言、公司網頁、LinkedIn內容和過往對話風格，生成非常自然的信息，甚至能模仿特定人物的語氣、用方言和職場術語。更危險的是聲音和影像偽造——只要有足夠的聲音樣本，攻擊者就能製造假扮親友、上司、同事或客戶的詐騙。但AI詐騙的最強武器並不是技術，而是心理壓力——「現在立即處理，不要問太多」、「這件事很機密」、「老闆正在開會，只能用信息說」、「客戶很急，先付款，之後傳文件」。當信息越急、越要求保密、越要求用新連結或新號碼時，反而應該停下來，用原有的信任管道（電話、原本的WhatsApp、公司內部系統、面對面）向可信對象核實。這比任何技術防禦都更有效。

企業面臨的風險則是另一個層面。許多公司員工為了提高效率自主使用各種AI工具——有人用AI寫電郵、整理會議記錄、分析客戶資料，有人把設計圖、報價、合約、內部報告上傳到網上工具處理。這種現象稱為「影子AI」。問題不在於員工懶惰，反而很多時候員工是想提高效率，但如果公司沒有政策、沒有工具清單、沒有權限規範、沒有資料分類、沒有審批流程、沒有記錄和監控，風險就完全看不見、管不到、追不回。企業最常見的五類AI風險包括：敏感資料外洩（客戶名單、報價、合約、財務資料洩露給未授權系統）、權限過大（AI工具可以訪問Gmail、Drive、CRM、資料庫、付款系統），提示詞注入攻擊（攻擊者在電郵、PDF、圖片中埋入隱藏指令，誘導AI忽略原本的規則執行惡意命令）、供應鏈風險（任一環節出事都影響全系統）、合規風險（處理個人資料、員工資料、醫療資料時無法審計或解釋決策）。

AI Auto Workflow和AI Agent是兩個截然不同的概念。Workflow是一條預先設計好的固定路軌：第一步做什麼、第二步做什麼、最後發往哪裡，都由人類預先設定，AI只負責其中某一步（改文、分類、摘要）。Workflow的風險主要來自設定錯誤——一旦錯誤設定，它就會非常穩定、非常高速、非常努力地把錯誤重複執行。相比之下，AI Agent不是跟流程走，而是根據目標自行規劃步驟。你給它的不是一條固定路線，而是一個任務目標，例如「研究五間競爭對手的產品、價格和市場策略」，Agent就可能自己上網搜尋、打開網頁、分析內容、下載資料、整理成文件、生成報告、甚至發給指定同事。這正是效率提升的地方，也是風險放大的地方。

AI Agent的安全威脅遠高於Workflow。最危險的不是它寫錯一句文字，而是在錯誤理解下執行真實行動。Agent有六大風險：第一是目標劫持，攻擊者透過電郵、網頁、文件或提示詞把Agent的原本目標扭曲成另一件事；第二是工具濫用，如果Agent可以使用浏覽器、電郵、雲端硬碟、資料庫、付款系統，它就不止是聊天工具，而是有手有腳的數碼員工；第三是身份與權限濫用，很多公司為Agent配置高權限帳戶以方便其訪問不同系統，但方便本身就是風險；第四是記憶污染，如果攻擊者成功把錯誤資料或惡意規則寫入Agent的長期記憶，它就可能長期受污染；第五是連鎖故障，多個Agent相互連接時，一個的錯誤可能一層傳一層；第六是人類過度信任，當AI表現得很聰明、很流暢，人就容易放鬆警覺，不再審查其行動。最危險的情況是人類讓Agent自動發送、自動批准、自動刪除、自動付款。

真正的安全做法不是相信AI，而是限制AI。安全邊界應該建立在系統設計、權限控制、審批流程、輸出過濾、日誌記錄和人工複核上。具體做法包括：實施最小權限原則，AI只取得完成任務所需的最低權限；高風險操作必須人工確認，涉及付款、刪除、發送外部電郵、修改資料、發布內容、簽署合約的行動都不應完全自動化；把資料內容和系統指令分開，防止外部資料改變AI任務；按風險等級分類工具，低風險工具可寬松，中風險工具需記錄審批，高風險工具需嚴格限制和審批；維持完整的日誌記錄，知道Agent讀了什麼、用了什麼工具、根據什麼做的決定、發送到哪裡；建立具體的AI使用政策，明確列出工具名單、資料分類、使用場景、審批流程和保存期限；不要盲目把所有自動化都升級成Agent，很多工作用固定Workflow已經足夠。

對個人和企業而言，AI安全的底線都是設置邊界而非禁止使用。個人可以用AI幫忙整理想法或分析合約，但應先刪除敏感資料，不應把整段私人對話或公司資訊原封不動貼入；企業應把AI當成有身份、有責任、有權限邊界的員工，而非無所不能的萬能工具。每個AI工具都應有使用場景、每個身份都應有權限邊界、每個高風險行動都應有審批流程、每個重要決定都應有記錄。企業應問的不只是「AI能幫我們節省多少時間」，還要問「如果它做錯了，最坏會損失什麼」。