2026年OWASP大语言模型十大风险、SBOM新规与黑帽大会：AI智能体正在成为新的攻击面

OWASP 2026年針對大語言模型應用的十大安全風險榜單由數百位安全專家評選，核心發現是智慧體正從被動工具演進為主動執行者，這一轉變催生了全新的安全面貌。表面看，提示注入仍佔第一位，但這恰恰反映了防禦的成功——正是充分的防護機制阻止了大規模事件發生，這被稱為"防禦偏差"。真正值得警惕的是過渡授權（excessive agency）的急速上升，從第六位跳至第三位，表明業界已開始正視一個根本矛盾：任何有用的系統必然伴隨許可權擴張，而許可權擴張必然帶來風險。與提示注入相比，錯誤資訊這類"無聲殺手"潛伏得更深——模型在吸收錯誤資料後會以遠超人類的速度持續犯錯，且防守方往往因習慣性預期AI出錯而放鬆警惕。OWASP專案負責人的核心洞察是：與其試圖打造不可欺騙的模型，不如在系統周圍構建多層防線，確保即便模型被欺騙也不至於造成關鍵破壞。這正是縱深防禦（Defense in Depth）思想在AI時代的新表述。

CISA軟體物料清單（SBOM）新規從"深度記錄"升級為"覆蓋度記錄"，意在讓每個組織清楚瞭解整個軟體供應鏈風險。然而規範本身只是起點，真正的價值在於"運營化"——從靜態清單轉變為動態防護工具。具體做法包括兩個方向：事後響應層面，當漏洞爆發（特別是週五晚間的高危漏洞）時，SBOM應能立刻指出受影響的元件、暴露程度及業務影響範圍，無需翻找電子表格；事前規劃層面，技術團隊在選擇第三方庫時可參考SBOM的繼承依賴情況，避免引入高風險堆疊。但一個未解的挑戰是：當依賴鏈條深達第十層時，我們該如何評估其風險權重？底層依賴是否應與頂層等權對待？若無明確指導，覆蓋度要求可能淪為純粹負擔。

黑帽大會2026最震撼的發現是"意圖合謀"（intent collusion）攻擊——研究團隊透過一封看似平常的日曆邀請，成功操縱了已透過身份認證的瀏覽器智慧體，導致憑證盜竊、資料洩漏乃至遠端程式碼執行。這不是粗暴的提示注入，而是一種心理層面的操縱：攻擊者讓AI確信執行的惡意行為正是完成使用者目標的最佳方式。這等同於在機器世界複製社會工程學，用說服而非暴力的方式達成目的。防護的有效手段恰恰是AI無決定權的架構約束——最小許可權原則、網路隔離、身份管理等——因為你無法期望說服一個可被欺騙的AI，但可以從設計源頭就限制其許可權範圍。

資料揭示行業的現實困境：80%的組織已遭遇AI相關安全事件，而最普及的防護措施部署率僅31%，進一步的92%AI資料洩露案例都源於缺乏訪問控制。這說明企業在急速部署AI能力時忽視了安全準備，如今不得不倉促應對。更深層的問題在於智慧體的身份屬性模糊——它既非傳統高許可權賬戶（後者雖然許可權大但判斷力可靠），也非無害程式，而是某種介於人機之間的混合體，可被心理操縱、擁有自主決策、掌握多項許可權。正是這種身份的不確定性催生了當下的"身份危機"。