假設採購收到供應商來信，要求把下一筆貨款匯到新帳戶。信件語氣自然，對方還傳來熟悉主管的語音；公司用來整理郵件的 AI，也把變更要求列進待辦。這個情境同時考驗員工的查證方式、付款系統的核准程序，以及 AI 能動用多少權限。對企業主管與資訊負責人而言，面對 AI 攻擊，需要逐一確認：哪些內容能取得信任、哪些操作必須另外驗證，以及發生錯誤後能否及時停止。

AI 已經改變哪些攻擊工作？

AI 可以協助攻擊者蒐集目標資訊、撰寫釣魚內容、修改惡意程式，以及整理竊得的資料。微軟於 2026 年 10 月公布的防禦報告說明指出，目前觀察到的使用仍有相當部分集中在既有攻擊流程的特定環節。這有助於分辨實際威脅與誇大宣傳：攻擊者能更快完成某些工作，不等於每次入侵都由 AI 自主完成，也不表示既有驗證與權限控制已經失效。

較進階的運用也已出現。Anthropic 的 2026 年 9 月威脅情報報告描述，一個間諜活動群組使用 AI 工作流程，在工具遭安全產品偵測後修改及重建工具；人類仍負責選定攻擊目標與檢視竊取結果。這是供應商對其平台上特定案例的調查，不能直接推算成所有攻擊的自動化比例，但已顯示防守方需要面對更快的嘗試與調整。

企業因此要同時處理兩條路徑：外部攻擊者利用 AI 加速既有入侵，以及公司自己導入的 AI 被誘導去讀取資料、寄信或修改系統。即使公司沒有部署 AI，仍需應對前者；當 AI 開始連接郵件、文件與業務系統，後者也會進入管理範圍。

重要交易，採用獨立查證

美國 FBI 在2025 年的惡意訊息警示中，已揭露冒充高階官員的 AI 語音訊息，並建議透過獨立取得的聯絡方式確認身分。對企業來說，熟悉的聲音、流暢的文字與正確的交易背景，都可以協助理解來意，但不宜直接作為變更收款帳戶、重設管理員密碼或提供客戶名單的充分授權。

回到供應商更改帳戶的情境，採購應使用既有供應商資料中的聯絡方式查證，再走公司核准程序。直接撥打可疑信件提供的新號碼，或改到對方指定的通訊平台繼續確認，仍可能由同一名攻擊者控制。公司可以要求帳戶變更與付款分別由不同人核准，並在付款系統留下變更前後資料與查證紀錄。

這會增加部分交易的處理時間，適合優先用在損失較大、難以撤回的操作。員工也需要被允許暫停急件；若主管的口頭催促可以直接繞過程序，制度就難以在真正受騙時發揮作用。教育訓練可以練習如何回報與查證，不必把成敗全部押在辨認語音破綻或文字風格上。

先保護能替別人開門的帳號

公司郵件、統一登入平台、雲端管理與密碼復原帳號，值得優先盤點。攻擊者取得這些權限後，可能冒用同事，或進一步取得其他系統的存取。登入可結合密碼與安全金鑰等不同種類的身分確認方式，這稱為多因素驗證；同時也應確認哪些人仍持有管理權限、廠商帳號何時到期，以及客服或內部資訊人員如何受理重設要求。

在服務支援時，可優先評估使用 FIDO2／WebAuthn 標準的密碼金鑰或安全金鑰。這類驗證會把登入與正確網站的網域綁定，降低員工在假登入頁交出可被轉用驗證資訊的風險。NIST 的數位身分驗證指引說明了這種抗釣魚設計；一般可輸入到其他網頁的簡訊或一次性驗證碼，並不具備相同的保護機制。

導入時仍要安排備用與復原方式，並演練遺失驗證設備後如何取回帳號。抗釣魚登入也不能涵蓋所有情況：已登入的電腦遭控制、登入工作階段的憑證遭竊，或復原程序被冒用，仍需另外處理。管理者應能從乾淨的裝置撤銷受影響的登入與相關存取，確認撤銷後的實際結果。

讓修補優先順序對應實際曝險

AI 輔助攻擊也會利用舊有盲區。資通安全署於2026 年 8 月公布的一波政府機關攻擊調查中，提到攻擊者結合 AI 代理工具，利用備援、測試等次要系統作為跳板。企業盤點時，除了正式網站，也應包括舊測試站、遠端連線設備、廠商維護入口，以及已經換過用途卻仍對外開放的服務。

每項對外服務至少應找得到負責人、目前版本、可連入的範圍，以及停用或修補的方法。漏洞處理可以結合三個條件排序：是否已被實際利用、是否可從外部接觸，以及遭入侵後能碰到哪些重要資料與系統。美國 CISA 的已知遭利用漏洞目錄（KEV）官方資料可作為其中一項依據；未列入目錄也不代表安全，仍需追蹤原廠公告及自身環境。

例行更新之外，公司還需要一條緊急處理途徑，讓負責人能安排必要測試、核准變更與回復方案。無法立即修補時，由技術團隊評估限制連線、停用受影響功能或暫停服務，並確認措施確實阻斷對應風險。若已有遭入侵跡象，安裝修補並不能證明環境已恢復可信，還要調查帳號、存取紀錄與可能留下的控制方式。

AI 讀到的文件，可能包含攻擊指令

當 AI 會替公司讀信、查文件，再呼叫其他系統辦事，它就成為 AI 代理。攻擊者可能把指令藏在郵件、附件或網頁裡，誘導代理偏離原本任務；這稱為提示注入。它的危險之處，在於提供資料的人，可能藉此影響持有公司權限的工具。英國 NCSC 對提示注入風險的分析指出，防護需要重視模型以外、能限制系統行動的控制。

例如，前述採購 AI 若只需要整理這封供應商來信，就不應同時持有讀取全公司合約、對外寄信與修改付款資料的權限。即使信中要求它搜尋其他客戶資料，後端系統也應拒絕不符合授權的查詢。可以把閱讀與執行分成不同步驟，讓接觸外部內容的部分先產生有限的候選資料，再由受限制的服務處理後續操作。相關的代理安全設計研究也討論了限制外部內容影響操作的架構，以及功能彈性與安全之間的取捨。

AI 產生的摘要也應保留來源與信任範圍。一封外部郵件經過摘要，仍然是外部來源的資訊，不能因為換成公司 AI 的口吻，就被當成內部核准指令。

開發團隊應把權限落實在資料庫、文件系統與 API，也就是各系統供程式存取的介面。查文件時先依使用者或代理的授權範圍篩選，避免把全公司的內容交給模型後，再要求它自行保密；只需產生草稿的服務，也不必取得正式寄信權限。OWASP 的 AI 代理安全建議同樣強調，應由後端系統檢查授權，並限制工具功能、權限與自主操作範圍。

只讀權限仍然需要保護。若代理可讀取所有客戶文件，再把摘要回覆給外部詢問者，資料仍可能外洩。除了限制資料來源，也要限制回覆對象、可連線的外部服務與輸出內容；提示詞與內容偵測可以提供額外防護，不能代替這些存取限制。

人工核准要看得到實際影響

在流程加入「請主管確認」之前，先決定主管到底確認什麼。若畫面只顯示 AI 撰寫的理由，再附上一顆同意按鈕，主管仍可能受到同一份惡意內容誤導。核准畫面應讓人查看原始來源，以及將被執行的實際變更，例如收款人、帳號、寄件對象、附件、資料範圍與金額。

以變更供應商資料為例，系統可以並列舊值與新值，附上獨立查證結果，再由具備權限的人核准。核准應綁定這一次操作的具體內容；收件人、金額或附件改變後，原先的核准就不應繼續有效。執行時，後端仍要再次驗證權限與限制，避免代理換個工具或重試方式，就繞過核准程序。

每個小動作都要求人工同意，也會造成負擔。較合適的安排是依影響分級：整理公開資料、產生草稿可以給較大的操作空間；對外傳送敏感資料、修改付款資訊、刪除紀錄或變更管理權限，則需要更嚴格的驗證與限制。判斷時同時考慮操作範圍、能否撤回，以及錯誤會影響哪項業務。

用 AI 協助防守，也要控制誤判代價

防守方可以先讓 AI 協助彙整警訊、整理事件時間線，以及找出需要優先調查的帳號。分析結果要能回到原始事件紀錄，讓人確認時間、系統與操作對象。要重建一次入侵，登入、郵件規則變更、文件下載與代理工具呼叫等紀錄，也需要能互相對照；同時避免把密碼、存取金鑰或不必要的完整業務內容寫進日誌。

自動處置則涉及營運取捨。英國 NCSC 在2026 年 9 月對代理式防禦的討論中，提醒應考量操作影響、範圍、系統重要性與可恢復程度。對企業而言，這可以轉成一個導入順序：先觀察與提出建議，再測試有明確觸發條件、影響範圍有限且能回復的動作，確認結果後才擴大授權。

例如，自動暫時限制一組測試帳號，與停用全公司共用登入服務，造成的後果差很多。每項自動處置都應有負責人、回復方法與停止機制。AI 代理的憑證也應能獨立撤銷，撤銷後不得自動改用權限更高的共用帳號繼續工作。否則，為了提高防守速度而加入的工具，也可能擴大一次誤判的影響。

停止機制需要實際測試，不能只看管理介面顯示「已撤銷」。既有登入、已簽發的憑證與排隊中的任務，可能有不同的失效方式。技術團隊應確認多久能真正停止存取；無法立即撤銷的憑證，則需有明確有效期限與補救措施。

用四個情境驗證防線

企業可以請內部團隊或服務廠商，在取得授權的測試環境、以測試帳號與假資料完成下列演練。驗收時同時看阻擋結果、通知與紀錄，避免只看 AI 回覆「我不會這樣做」就算通過。

這些演練只能驗證指定流程，不能證明所有攻擊都會被擋下。它們的價值在於找出具體缺口：是帳號範圍太大、核准沒有綁定內容，還是根本無法撤銷代理的存取。缺口有了明確操作與結果，內部人員和廠商才容易討論如何修正、何時完成。

資源有限時，先從最重的後果排起

企業可以先找出一旦被冒用就會造成大筆損失、資料外洩或營運中斷的操作，再對應負責人與系統。尚未導入 AI 代理的公司，優先處理重要帳號、交易查證、對外服務與緊急修補；已經讓 AI 連接內部資料的公司，則一併盤點代理身分、資料範圍、工具權限與停止方法。

管理者可以追蹤幾個直接對應風險的結果：高權限帳號是否有妥善的驗證與復原方式、對外曝險漏洞從發現到限制風險花了多久，以及撤銷代理存取是否真的生效。再搭配備份還原與事件處理演練，確認出錯後仍能恢復必要服務。AI 攻擊的能力會持續變動；把這些控制做成可重複驗證的日常工作，企業就能隨著新威脅調整防線，也比較能判斷下一筆資安預算應該投入哪裡。