AI Agent 會自己動手做事了，五眼聯盟卻踩了煞車：一份跨國安全指引，揭開「自主 AI」最被低估的風險
五眼聯盟六大資安機構罕見聯手發布代理型 AI 安全指引，警告自主 AI 放大風險、Agent 是全新身份類別。一篇看懂企業導入 AI 前該踩的煞車。
過去一年，AI 圈最熱的關鍵字從「會聊天」換成了「會動手」。所謂的 AI Agent（自主代理），不再只是回答你的問題，而是能自己讀資料、做判斷、呼叫工具、串接系統，甚至在沒有人盯著的情況下，一步步把一整件工作做完。從幫你訂機票、比價下單，到自動抓 bug、寫程式、部署上線，代理型 AI 被視為 2026 年最有想像空間的方向。
但就在大家興奮地把 Agent 接進工作流程時，五個國家的資安機構卻同時舉起了手，示意大家「先別衝這麼快」。
一份罕見的跨國安全指引
2026 年 5 月 1 日，被稱為「五眼聯盟」（Five Eyes）的美國、英國、加拿大、澳洲、紐西蘭資安體系，聯手發布了一份名為《Careful Adoption of Agentic AI Services》（謹慎採用代理型 AI 服務）的指引文件。參與的單位包括美國網路安全暨基礎設施安全局（CISA）、國家安全局（NSA），以及澳洲信號局旗下的資安中心（ASD ACSC）等六個政府機構。
這份文件的特別之處在於：它是全球第一份、由多個政府協同針對「代理型 AI」提出的資安指引。過去各國多半是各發各的 AI 白皮書、各談各的原則，這次卻是難得的一致口徑——而且核心訊息不是鼓勵，而是提醒。
指引裡對 Agent 的定義很直白：這是一種由大型語言模型（LLM）驅動、能自行「解讀資訊、做出決策、採取行動」的系統。也正因為它能自己行動，風險的性質就跟過去我們熟悉的軟體完全不同。
為什麼現在值得關注
傳統的軟體，做什麼、怎麼做，都是工程師一行一行寫死的；出了問題，你大致能回推到某段程式碼。但 Agent 不一樣，它會依當下情境自己決定下一步，這代表它的行為有一定的不確定性。指引用了一句很到位的話：「更高的自主性，會放大設計瑕疵、設定錯誤與監督不足所帶來的衝擊。」
換句話說，同樣一個小疏失，在傳統系統裡可能只是跳個錯誤訊息，但在一個能自己動手的 Agent 身上，卻可能演變成它擅自刪了資料、發了不該發的信、或呼叫了不該呼叫的外部服務。自主性是雙面刃，好處與風險是等比例放大的。
Photo by Igor Omilaev on Unsplash
更棘手的是「攻擊面」的問題。要讓一個 Agent 真正好用，往往得餵它一堆工具、外部資料源、API 與帳號權限。指引指出，這些零件串在一起，會形成一個「相互連動、可被惡意利用的攻擊面」。過去駭客要一個一個環節突破，現在只要在其中一個工具或資料源動手腳，就有機會操縱整個代理的判斷與行動——這也是近來大家常聊到的「提示注入（prompt injection）」與「工具濫用」風險的延伸。
最被低估的一點：Agent 是一種新的「身份」
這份指引裡我覺得最值得台灣企業記下來的觀念，是它把 AI 代理視為一種獨立的身份類別（identity class）來看待。
過去我們談權限管理，對象都是「人」——某個員工能看哪些檔案、能動哪些系統。但一個 Agent 也會登入、也會拿著憑證去存取資料、也會替你做決定，它其實更像一個「數位員工」，卻常常被當成一段小程式隨手接上去。指引特別點名警告了「靜態、共用的憑證」問題：很多人為了方便，直接塞一組萬用 API Key 給 Agent，這在自主系統裡等於把一整串鑰匙交給一個你無法完全預測行為的對象。
它還提醒了一句很現實的話：「為人類設計的治理機制，不見得能有效套用在自主 AI 代理身上。」我們熟悉的那套簽核、稽核、權限分級，是假設「背後有一個會負責的人」，但 Agent 沒有法律人格、也不會為後果承擔責任，舊的治理框架自然會出現缺口。
官方開的藥方：慢慢來，從低風險做起
那該怎麼辦？指引並沒有要大家因噎廢食、拒用 AI，而是給了幾個相當務實的原則。
第一，漸進式部署。先從定義清楚、風險低的任務開始讓 Agent 上手，例如整理資料、產出草稿，而不是一開始就讓它直接動錢、動客戶資料、動正式環境。第二，持續對照演進中的威脅模型評估，不是上線就沒事，而是要一直監看它到底做了什麼。第三，強調強治理、明確問責、嚴密監控與人類監督是「必要的前提」，不是可有可無的加分項——尤其是那個「human oversight（人類把關）」，在能自主行動的系統裡，重要性只會愈來愈高。
Photo by Conny Schneider on Unsplash
對產業與一般企業的意義
可能有人會想：這是政府機構在講國安等級的事，跟一般公司有什麼關係？其實關係很大。
因為當美國、英國這些國家的官方資安機構罕見地聯手發聲，通常代表這件事已經從「實驗室話題」變成「即將大規模落地」的現實。愈來愈多 SaaS 工具、內部系統開始內建 AI 代理功能，這意味著一般企業其實已經在不知不覺中，把「會自己做決定的東西」接進了日常營運。企業尤其容易在追求效率的過程中，為了省事而給 Agent 過大的權限、共用一組帳密，正好踩在指引點名的地雷上。
好消息是，這份文件同時也可以當成一份現成的檢查清單。導入任何帶有自動化、代理性質的 AI 工具前，不妨自問幾個問題：這個工具用的是專屬且可隨時撤銷的憑證嗎？它能碰到的資料與權限，有沒有壓到「最小必要」？出問題時，我有沒有辦法立刻知道、並且喊停？這些問題不需要很高深的技術背景，卻能幫你把風險擋在門外。
結語：跑得快，也要懂得踩煞車
回頭看，這份指引最有意思的地方，其實不是它列了哪幾類風險，而是它釋放出來的訊號：AI Agent 的討論，正式從「它能做到什麼」進入「我們該怎麼安全地讓它做」的階段。
這其實是任何一項技術走向成熟的必經之路。網路剛普及時，大家先為「什麼都能連」興奮，接著才慢慢補上防火牆、加密與資安意識。代理型 AI 現在大概也走到了類似的轉折點——最會用它的人，未必是把權限開到最大的人，反而是那些懂得替它設好邊界、留好煞車的人。自主，從來都應該建立在「可被監督」的前提上。
對正在觀望或已經開始導入 AI 的企業來說，這份指引的價值不在於嚇人，而在於提醒：讓 AI 幫你做事，跟放手不管，是兩件完全不同的事。跑得快很好，但知道怎麼在對的時候踩煞車，才是真正能把 AI 用得長久的關鍵。