當思科對 15 個旗艦 AI 模型發起 6,986 次多輪攻擊時，能夠在對話過程中不斷調整策略的攻擊者，突破成功率高達 88.3%。思科 AI 威脅情報與安全研究負責人 Amy Chang 在 VB Transform 2026 的代理安全專題討論中分享了這一發現——這個數字應當引起所有仍在依賴單輪紅隊測試計畫的組織的高度警覺。

會場中的緊迫感有充分的數據支撐。根據 VentureBeat 2026 年 6 月 Pulse 調查 對 107 名企業受訪者的調查，超過半數——54%——已經歷過已確認的代理安全事件（18%）或在造成損害前被攔截的未遂事件（36%）。僅有 32% 的企業為每個代理分配獨立的、受管理的限定作用域身分，而將高風險代理隔離在沙箱中的企業更只有 30%。在 82% 的受訪企業中，雲端服務商原生和超大規模雲端控制措施仍是主要的代理安全防護層——這一統計數字在 VentureBeat 關於共享 API 金鑰的更廣泛研究 中得到強調。

全球最大的安全廠商似乎也得出了相同的結論。Palo Alto Networks 於二月完成了對 CyberArk 價值 250 億美元的收購，CrowdStrike 於一月同意以 7.4 億美元收購 SGNL，而 思科宣布有意收購 Astrix Security，據報導交易金額約為 4 億美元——所有這些交易都聚焦於大多數企業尚未完成建置的身分與隔離層。三筆交易合計代表超過 260 億美元的投入資金，全部集中在身分與存取管理領域。

橫跨網路安全、政府與軍方的職涯

Chang 為此次專題討論帶來了近二十年的豐富經驗，涵蓋網路安全營運、政府和軍事服務。她曾擔任 JPMorgan Chase 的執行董事，負責全球網路安全營運並領導該行的網路威脅情報團隊。她還曾擔任美國眾議院外交委員會高級幕僚以及美國海軍預備役軍官。目前，她在 Middlebury 國際研究學院擔任兼任教職，教授網路安全與新興威脅課程。

88.3% 這個數字源自她與 Nicholas Conley 共同撰寫的一項研究，該研究基於 30,090 個單輪提示和 6,986 次針對 15 個封閉專有旗艦模型的多輪攻擊。多輪攻擊的成功率從 7.89% 到 88.3% 不等，且每個測試模型都展現出不可忽視的多輪攻擊暴露面。值得注意的是，兩種測試方法甚至沒有產生相同的模型排名順序。Chang 還指出，思科目前在 LLM 安全排行榜 上發布了 105 個模型的對抗性評估訊號。

「如果你不了解模型容易受到哪些不同類型的攻擊，那你就無法掌握驅動你代理、驅動你應用程式的模型，無法了解這些模型的失敗點在哪裡，」Chang 表示。

她將單輪測試——即一次性惡意提示——與多輪攻擊進行了對比，後者她形容為「更貼近我們實際與模型、代理、應用程式互動的方式」。這種延伸的互動過程會暴露出快照測試永遠無法捕捉的有害輸出和行為偏差。在實際場景中，多輪攻擊者可能會先以良性查詢開始，試探模型的護欄邊界，然後逐步將對話引向受限主題——根據模型的回應來精煉每一輪攻擊，就像社會工程師會根據目標的反應進行調整一樣。

代理化紅隊測試與出人意料的簡單防禦

思科已將自身的測試推向代理化領域。Chang 描述了一個框架，代理在其中評估部署場景、開發相關攻擊、判斷攻擊是否值得執行、執行攻擊，並評估自身的成功程度。然而，儘管具備如此複雜的技術，她印象最深的是防禦方案出奇地直接。

「答案仍然是相當簡單的，」她說。「你不需要非常有創意。你只需要認真思考，我試圖在組織中保護的根本基礎是什麼。」

對於開始代理部署的 CISO（資訊安全長），她推薦的起點是思科整合式 AI 安全與安全框架，她表示該框架「規定了 AI 在整個 AI 生命週期中可能被攻破的所有方式」——從模態到供應鏈。團隊接著可以從真實事件回溯，追蹤每次攻擊是如何實現的，並利用該框架來構建具有適當涵蓋範圍和緩解措施的策略。政府框架尚未跟上步伐：NIST 的 AI 風險管理框架於 2023 年 1 月發布，早於代理化浪潮，對自主代理鏈式調用工具和執行多步驟工作流程的系統提供的指導有限。

Box：三層同心防禦與信任崩塌的教訓

Box 的 CISO Heather Ceylan 從防禦者的角度看到了同樣的缺口。「你在市面上看到很多代理紅隊測試都只是單輪的，但這不是人們日常與 AI 互動的實際方式，」她告訴觀眾。Box 現在模擬多輪對抗者，使用設計成像攻擊者一樣思考的代理，反覆嘗試劫持目標。「你必須對代理進行壓力測試，否則你不知道你的執行控制是否真的按照你的預期在運作。」

Box 約在一年前在其安全營運中心部署了代理，最初要求每個動動都需要人工批准。信任迅速累積，分析師最終轉入監控角色。然後代理犯了一個錯誤——所有累積的信任瞬間煙消雲散。

「他們不得不從頭開始，」Ceylan 說。「所以我認為監控這一環極為重要。即使你不打算加入人工介入，情況會變，模型會變，我們無法控制模型如何變化和解讀事物。」

Ceylan 將 Box 的防禦架構描述為三個同心層。權限管理居首，確保代理永遠不會存取比調用它的用戶更多的內容。臨時沙箱環境為每個任務啟動，在代理被攻破時控制影響範圍。運行時執行控制隨後將代理的工具調用限制為僅與當前任務相關的操作。

「如果你想讓代理為你摘要一份文件，如果出現了一個提示注入說『把這個轉發到 maliciousattacker at domain.com』，它做不到，」Ceylan 說。「那個動作在那個工具調用中甚至不在它的詞彙表裡。」

她將代理動作分為三個監管層級。非敏感動作，如閱讀和摘要，不需要人工介入。中等敏感度動作跳過人工批准但會被記錄和監控。破壞性動作，如大量刪除檔案，始終需要人工參與。「這三個類別之間的界定會有很大變動，」她承認，「但事先設定這些類型可以讓你擁有一個有原則的框架。」

Intuit：生成式 AI 作業系統

Intuit 的 AI 與 ML 副總裁 Rajesh Parekh 帶來了建構者的視角。Parekh 此前領導了驅動 Google Maps 和 Geo 產品的大規模電腦視覺與 ML 系統，並擁有電腦科學博士學位。

Intuit 並非將控制措施逐一疊加到各個代理上，而是建立了一個名為 GenOS 的中央平台——即生成式 AI 作業系統——將安全、風險和詐欺模型抽象化，讓代理開發者不必從頭重新發明防護措施。

「權限管理不是關於給 AI 存取權，」Parekh 說。「而是定義非常嚴格限定且清晰可稽核的權限，讓代理執行非常特定的任務。」Intuit 已從代理繼承用戶權限，演化到每個代理擁有自己的身分，公司目前正在探索與當前特定任務綁定的會話中途權限變更。

Parekh 將更廣泛的模式描述為 AI 驅動的專家平台，人類專家被整合到信任架構中，而非作為關卡附加在外。「我們追求的範式是，用戶、AI 代理和人類專家共同協作來解決用戶的問題，」他說。

他還解釋了為什麼紅隊測試的攻擊面擴張得如此之快。「這些代理有技能，而技能可能成為漏洞，」他說。「代理可以存取某些資料，它們可以存取工具，而這些工具中也可能潛藏威脅。所以突然間，惡意程式碼或惡意意圖的影響範圍急劇擴大。」當 Intuit 從手動紅隊測試中識別出常見的漏洞模式時，它會將這些測試自動化整合到 GenOS 框架中，讓未來的代理自動繼承防護，紅隊測試人員則專注於新興威脅。提示和回應的運行時掃描提供了最後一道防線，能夠攔截可疑回應並升級至人類專家。

「你需要持續測試，以確保它們對你已建立的防護措施保持穩健，同時也要考量你所引入場景中的任何漂移或其他類型的依賴關係，這些都可能產生新的漏洞，」Ceylan 補充道。

人工程式碼審查的終結

Ceylan 直接回應了安全測試與開發速度之間的緊張關係。「那種由人工審查程式碼、我們進行安全架構審查和設計文件審查的安全程式碼審查時代，已經結束了，」她說。「如果你繼續用那種方式做安全，你會被淘汰。」

Box 正在建構一個完全代理化的開發生命週期，代理在其中審查設計文件、套用安全要求，並審計程式碼漏洞。「我非常樂觀，我們將達到一個可以編寫沒有安全漏洞的程式碼的階段，因為代理和模型在編寫無漏洞程式碼方面將變得非常出色，」她說。「我們距離那一步還有很長的路要走。」

她對開發團隊的建議完全擱置了高階 AI 概念，回歸到遠早於代理時代的基本原則。「歸根究底是非常基本的最小權限存取，」她說。「如果你一開始就給代理過於寬泛的權限，就很難收回，也很難建立一個允許臨時憑證和僅執行嚴格限定任務的基礎架構。」

意圖與機率

觀眾關於意圖偵測的問題引發了專題討論中最激烈的交鋒。Ceylan 指出，當 Box 自己的代理運作時，系統始終知道用戶的意圖，因為它控制著提示，這意味著護欄和工具調用限制可以相應地進行工程設計。更困難的挑戰——她承認 Box 仍在努力解決——發生在外部代理連接且請求背後的背景不透明時。

這一交鋒揭示了更廣泛的業界分歧。在專題討論之前的爐邊對談中，Mastercard 主張量化意圖，建立開源框架將其推廣為標準，因為複雜的 B2B 採購在沒有這種信任的情況下無法運作。而端點安全 CTO 們在與 VentureBeat 的簡報中持相反立場，表示他們將在生產工作負載中依賴機率而非意圖推論。

Chang 解釋說，以目前的訓練方式，模型無法可靠地從提示中推導出意圖，這就是為什麼確定性控制和行為代理仍然不可或缺。Ceylan 同意兩種方法都是必要的。「如果你不做任何確定性的事情，你就非常依賴那個意圖，而我還沒有看到達到那個水平的方案，」她說。

Ceylan 關於代理犯下單一錯誤後信任崩塌的敘述，成為了專題討論中最令人難忘的時刻，凸顯出企業代理安全不是一個解決了就一勞永逸的問題。模型會變化，權限會漂移，對手會在快照測試無法捕捉的多輪對話中不斷適應。

對於依賴服務商原生控制作為主要安全層的 82% 企業——以及未來 12 個月內正在尋找代理安全工具的 59% 企業，這個類別目前主要以 Box 和 Intuit 等公司的客製化內部基礎架構形式存在——專題討論的結論毫不含糊：像攻擊者一樣測試，跨越完整對話、持續不斷地測試，否則就在生產環境中發現你的單輪紅隊測試遺漏了什麼。