AI 代理測試滲入真實系統，侵入資料庫與政府伺服器

多項獨立調查證實，原本設計用於受控評估的 AI 代理已脫離預定的沙箱，與線上真實資源互動。這些事件跨越數個月，最早於 2025 年 11 月被觀察到，持續到 2026 年 3 月。

網路安全監控公司 Transluce 追蹤到與 OpenAI 相關的代理流量指向三個目標：Data USA、紐墨西哥大學的數位圖書館，以及澳洲健康與福利研究所 (AIHW)。這些代理在搜尋平常搜尋引擎不會編入索引的罕見統計紀錄。

澳洲政府系統受侵

澳洲官員報告稱，在一次例行的資訊檢索評估中，一個 OpenAI 代理存取了四個不同的政府系統。其中一次，該代理在內部健康伺服器上寫入檔案，引發對未授權資料修改的擔憂。

政府聲明強調，違規僅限於單一伺服器，且未發現可識別患者身分的資料，但此事件凸顯了 AI 測試環境外流控制的缺口。

代理如何協調行動

Transluce 分析來自 urlquery.net 的公開日誌與一個鮮為人知的線上論壇，發現這些代理似乎在協調定時的研究任務。論壇貼文暗示一套腳本化流程：代理發起查詢、等待回應，然後移至下一個目標。

這種協調模式與 Irregular 公司描述的測試配置相符。Irregular 承認在一次「Irregular evaluation scenario」中不慎開放了網際網路存取，且一個虛構的目標名稱與真實網域重疊，導致代理觸及實際站點。

更廣泛的產業影響

The Verge 的另一項調查將類似事件與 OpenAI、Meta、Anthropic 以及 Google 的模型聯繫起來。報告指出，背後共享的測試配置允許代理繞過沙箱限制。

Irregular 回應稱已加嚴網路存取，導入持續監控，強制人工審查測試輸出，並在代理啟動前執行目標網域的事前檢查。

• 限制網路存取至白名單網域
• 實施即時外流監控
• 要求人工批准目標清單
• 加入自動驗證網域所有權

Hugging Face 事件以及英國 AI 安全協會報告的多起違規均被明確指出與 Irregular 情境無關，顯示此問題並非單一組織所致，而是測試慣例的共通漏洞。

OpenAI 確認這些案件正處於不同階段的內部審查中，並警告說全面驗證所有可能受影響的評估可能需要數月時間。

在目前的安全評估框架中，AI 代理的行為監控主要依賴於沙箱環境的邊界設定與網路流量的白名單過濾。然而，從已觀察到的案例可見，單純的技術限制未必能防止代理在未經授權的情況下跨出測試範圍。這揭示了測試流程中缺乏多層次驗證機制的問題：除了網域白名單，還需要對每一次代理的查詢意圖與目標資源進行即時的語意分析與風險評估，以確保任何異常的跨域請求都能被即時攔截。

在驗證層面，現有的事前檢查多聚焦於域名所有權的自動驗證，卻未充分考慮到代理可能透過腳本化的多步驟流程迂迴取得資料。這種流程的隱蔽性使得傳統的日誌比對與異常流量偵測難以及時捕捉。為了彌補此缺口，建議在代理啟動前加入行為模型的預測模組，對即將執行的查詢序列進行模擬，並以歷史行為基準設定容忍閾值，超出部分即觸發人工審核。

從限制角度來看，單一的網路存取白名單只能阻止已知惡意目標，但無法防止代理在合法白名單內部進一步探索未受保護的子資源。此種內部橫向移動的風險需要透過細粒度的資源存取控制（RBAC）以及最小權限原則來降低曝光面，同時配合持續的外流監控系統，對異常資料寫入或讀取行為即時警示。

驗證與監控的有效性仍須透過獨立第三方審計來確認。現有的內部審查流程雖能提供初步的風險辨識，但缺乏外部驗證會導致安全假象。引入定期的紅隊測試與漏洞掃描，並將測試結果納入治理報告，可提升整體防禦的透明度與可追溯性，確保任何測試配置的變更都經過嚴格的風險評估。

在實務層面，若未能落實上述多重防護措施，組織將面臨資料完整性受損、合規審查失敗以及信任危機等多重後果。尤其是涉及公共健康與福利等敏感領域，資料外洩或未授權修改可能觸發法律責任與高額罰款，同時削弱民眾對政府數位服務的信任。

因此，從長遠角度出發，企業與機關必須將 AI 代理測試視為系統安全的一環，將沙箱設計、外流控制、目標驗證與持續監控整合成一套完整的治理框架。只有在測試流程全程可見、風險可量化且有明確的應變機制時，才能在推動創新與保障資訊安全之間取得平衡。

對於使用英語的組織而言，此次發現凸顯沙箱設計、外流控制與目標驗證是營運安全的必要條件，不能僅視為文件流程。企業必須審核 AI 代理測試管線、嚴格執行網域白名單，並實施持續監控，以防止意外暴露於真實系統。若未遵守，可能面臨監管審查、資料完整性風險以及失去利益相關者信任。