AI Agent 取得工具權限前，應如何做好安全設計？

為何要在 AI Agent 取得工具權限前審計？

因為最危險的時刻，是 Agent 首次取得憑證及行動能力之時。在此之前，審查面對的是一個尚未能造成損害的系統。在此之後，每項發現都已是實際的保安缺口。

威脅已不再是假設。2026 年，JadePuffer 利用 AI Agent 偵察、竊取憑證及加密檔案，全程無人參與。根據 DigiCert，78% 機構曾報告發生與 AI 相關的保安事故。令 Agent 有用的自主性，同樣令未加固的 Agent 變得危險。

Agent 安全審查應從哪裏開始？

由憑證及身份開始。根據 VentureBeat（2026），69% 企業仍讓 AI Agent 共用憑證，一個 Agent 被入侵，便承繼所有共用同一金鑰的 Agent 可接觸的範圍。只有 32% 為每個 Agent 設立獨立、有範圍限制的身份。

非人類身份，正是大部分「我們很安全」說法略過的部分。每個 Agent 都應有獨立身份、短期憑證及只限任務的權限。

工具權限前的清單包括甚麼？

1. 最小權限的工具範圍。Agent 可接觸的每項工具及憑證，只限於其所需的最低權限；正常流程以外的，一律不設常駐權限。
2. 真人審批關卡。具破壞性、不可逆或涉及大額開支的操作，須經明確批准。Agent 提出建議，由真人確認。
3. 所有輸入均視為不可信。在證明可信之前，模型輸出及檢索得來的內容一律視為有敵意；每條輸入路徑均設 prompt injection 及 tool poisoning 防禦。
4. 執行環境隔離。Agent 在 sandbox 中運行，即使被入侵，亦無法轉移至貴公司其餘基建。
5. 對外傳輸及開支控制。設定速率限制、開支上限及對外流量過濾，被騎劫的 Agent 便無法外洩數據，亦無法產生無上限的費用。
6. 完整審計日誌。每次工具調用、每項輸入及決定均有記錄及監控，事後您可以回答「Agent 做了甚麼？」。

Agent 安全審計與滲透測試有何分別？

滲透測試從外部探測已部署系統中可被利用的漏洞。Agent 安全審計則檢視 Agent 本身獲准做甚麼：它能接觸哪些工具及憑證、輸入從何而來、哪些操作毋須批准，以及它記錄了甚麼。

兩者通常都需要：審計並不取代對整體基建的滲透測試。

為何由開發者兼做加固會有幫助？

市場分成兩邊：從不提「安全」的 Agent 開發公司，以及不開發 Agent 的 AppSec 公司，而保安漏洞正出現在兩者之間。懂得加固的開發者知道 Agent 不應擁有哪項工具，因為整合正是由他們編寫。Super Cat 把開發與加固合為同一流程，由第一次設計會議起，安全要求已決定架構、工具範圍及審批關卡。

Agent 安全審計有甚麼局限？

審計只反映某一時間點：它顯示 Agent 今天能接觸甚麼，而非下一季會獲授予甚麼。審計本身亦不會修正任何問題。大部分審計以一份按優先次序排列的發現報告作結，在憑證影響範圍清楚後，給出明確建議：原地加固，還是重建。