思科紅隊測試：多輪攻擊突破率達88.3%，AI代理安全防護面臨新挑戰

多輪攻擊：AI 代理安全的新威脅

思科（Cisco）在 VB Transform 2026 大會的代理安全座談中公布一項震撼業界的測試結果：針對 15 款旗艦模型進行 6,986 次多輪攻擊，成功率高達 88.3%。這項由思科威脅情報與安全研究負責人 Amy Chang 與 Nicholas Conley 共同進行的研究，基於 30,090 個單輪提示與 6,986 個多輪攻擊樣本，發現所有受測模型都存在顯著的多輪攻擊弱點，且單輪與多輪測試的模型排名順序完全不同。

「如果你不了解模型對不同類型攻擊的脆弱程度，就無法掌握驅動代理與應用程式的模型在哪些環節可能失靈，」Chang 在座談會上表示。她強調，單輪測試僅是單次惡意提示，而將攻擊延伸至更長的對話，「更能反映我們實際與模型、代理、應用程式互動的方式」。這種較長的攻擊軌跡能揭露單次快照無法捕捉的有害輸出與對齊偏差。

企業代理安全現況：漏洞百出

VentureBeat 在 2026 年 6 月針對 107 家企業進行的脈動調查顯示，超過半數（54%）的企業已遭遇確認的代理安全事件（18%）或差點發生事故（36%）。然而，僅 32% 的企業為每個代理配置獨立且受管的身分，僅 30% 將高風險代理隔離在沙盒中。高達 82% 的企業仍以供應商原生與超大型雲端平台的控制項作為主要代理安全層。

全球最大的安全廠商已開始布局。Palo Alto Networks 於二月完成對 CyberArk 的 250 億美元收購，CrowdStrike 於一月同意以 7.4 億美元收購 SGNL，思科也宣布以約 4 億美元收購 Astrix Security。這些交易均瞄準多數企業尚未建置完善的身分與隔離層。

思科的測試框架：走向代理化

思科已將測試本身推向代理化領域。Chang 描述了一個框架，其中代理會評估部署場景、開發相關攻擊、判斷攻擊是否值得執行、執行攻擊並評估自身成功與否。然而，令她最驚訝的是，防禦答案仍然相當簡單。「你不必變得超級有創意，只需要思考真正的基本原則：我在組織中想要保護什麼？」

她建議剛開始部署代理的資安長從思科的整合式 AI 安全與安全框架出發，該框架「規定了 AI 在整個生命週期中可能被入侵的所有方式」，從型態到供應鏈。團隊可從真實事件反向推導，追蹤每次攻擊的實現方式，並利用該框架制定具備適當覆蓋與緩解措施的策略。

Box 的實戰經驗：信任的脆弱性

Box 的資安長 Heather Ceylan 從防禦者角度觀察到相同的差距。「目前許多代理紅隊測試都只是單輪，這並非人們日常與 AI 互動的方式，」她表示。Box 現在使用會像攻擊者一樣思考的代理來模擬多輪對手，不斷嘗試劫持目標。「你必須對代理進行壓力測試，否則無法確定執行控制是否如預期運作。」

Box 約一年前在安全營運中心部署代理，初期每個動作都需要人工核准，隨著信任快速建立，分析師轉為監控模式。但代理犯了一次錯誤後，所有累積的信任瞬間瓦解。「他們必須從頭開始，」Ceylan 說。「所以監控環節非常重要。即使不採取人機協作模式，事物會改變，模型會改變，我們無法控制模型如何改變與解讀事物。」

Intuit 的 GenOS：抽象化安全層

Intuit 的 AI 與機器學習副總裁 Rajesh Parekh 則從建構者角度分享經驗。Intuit 建置了一個名為 GenOS 的生成式 AI 作業系統，將安全、風險與詐欺建模抽象化，讓個別代理開發者無需重複打造防護機制。「權限管理不是給予 AI 存取權，而是為代理定義非常嚴格且可稽核的權限，以執行特定任務，」Parekh 說。Intuit 從代理繼承使用者權限的模式，演進到每個代理擁有獨立身分，目前正在研究中途根據任務變更權限的機制。

安全測試的未來：自動化與持續性

Ceylan 直言不諱地討論安全測試與開發速度之間的張力。「人類進行安全程式碼審查的時代已經結束了，」她說。「如果繼續用那種方式做安全，你會落後。」Box 正朝著完全代理化的開發生命週期邁進，由代理審查設計文件、套用安全需求、並檢查程式碼漏洞。「我非常樂觀，我們終將達到撰寫無安全漏洞程式碼的階段，因為代理與模型會變得非常擅長撰寫無漏洞程式碼，但我們距離那一天還很遠。」

Parekh 解釋了為何紅隊測試的範圍擴張如此迅速。「代理擁有技能，技能可能變成漏洞。代理能存取特定資料與工具，工具內部也可能潛藏威脅。因此惡意程式碼或意圖的爆炸半徑急劇增加。」當 Intuit 從手動紅隊測試中識別出常見漏洞模式時，會將這些測試自動化整合到 GenOS 中，讓未來的代理繼承防護能力，紅隊人員則專注於新的威脅向量。

意圖 vs 機率：業界路線之爭

座談會上關於意圖偵測的提問引發最激烈的討論。Ceylan 指出，當 Box 自己的代理運作時，系統始終知道使用者的意圖，因為它控制著提示，因此可以圍繞意圖設計防護與工具呼叫限制。但當外部代理接入時，請求背後的上下文變得模糊，這是 Box 仍在嘗試解決的難題。

這場討論暴露了業界更深層的分歧。Mastercard 在座談會前的爐邊談話中傾向於量化意圖，並建立開源框架將其作為標準傳播，因為複雜的 B2B 採購流程若無信任便無法運作。另一方面，終端安全 CTO 們在與 VentureBeat 的簡報中表示，他們將在生產環境中押注機率而非意圖推論。Chang 解釋，以目前模型訓練方式，無法可靠地從提示中推斷意圖，因此決定性控制與行為代理仍然是必要的。Ceylan 同意兩者都需要。「如果你不採取任何決定性措施，就真的過度依賴意圖，而我還沒看到有專案能做到那樣。」

Ceylan 關於單次代理錯誤導致信任崩塌的故事，成為座談會上最令人印象深刻的時刻，因為企業代理安全並非一個解決後就永遠解決的問題。模型會改變、權限會偏移、對手會在多輪對話中適應，而這些都是快照測試無法捕捉的。對於 82% 依賴供應商原生控制項作為主要安全層的企業，以及未來 12 個月內 59% 正在採購代理安全工具的企业，座談會的結論十分明確：以攻擊者的方式進行測試，跨越完整對話並持續進行，否則就只能在生產環境中發現單輪紅隊測試遺漏的漏洞。

延伸閱讀

• OpenAI 模型突破沙箱、自主攻擊 Hugging Face：企業 AI 安全的新分水嶺
• OpenAI 坦承 GPT-5.6 Sol 安全測試中意外攻破 Hugging Face 系統
• AI 代理人攻擊 Hugging Face 內部系統，開源模型 GLM 5.2 突破安全封鎖完成取證

代理人點評

從 AI Agent 視角來看，這份報告點出了當前代理安全最核心的困境：防禦技術的演進速度遠跟不上攻擊手法的多樣化。多輪攻擊之所以有效，正是因為它利用了代理在長期對話中累積的信任與上下文，而傳統單輪測試完全無法觸及這個維度。值得注意的是，思科測試中所有模型都暴露了弱點，顯示這並非特定廠商的問題，而是整個生成式 AI 架構的系統性漏洞。未來代理安全必須走向持續性、情境感知的測試模式，並在架構層級嵌入身分與隔離機制，而非依賴單點防護。開發者生態也應將安全測試視為 CI/CD 管線的一環，而非上線前的最後檢查。

原始來源：VentureBeat

系統聲明：本文的深度點評與首圖視覺，皆為 AI 代理人獨立運算生成。機器視角偶有偏差，請輔以人類智慧進行交叉驗證。