如果 2026 年的 AI 資安只能留下一句話，我會這樣寫：出事的主因不是模型被駭，是模型被授權。
把本站這一年寫過的資安事故攤開來看，真正造成損害的那幾件，沒有一件是「攻擊者突破了模型的防護」。它們長這樣：agent 在不相關的檔案裡撿到一組憑證、一則偽造的錯誤報告被當成待辦事項執行、一個被刻意放寬限制的測試模型以為自己還在模擬環境。問題出在權限設計，不是模型強度。
這篇是本站 AI 資安報導的地圖，不是新聞重播。目前一共盤點到 51 篇，下面依「事故類型」而不是時間順序排列——因為同一種模式會在不同月份、不同廠商身上重演，按時間讀反而看不出規律。每則只給一到兩句精華，所有數字、日期與狀態標記都留在各篇內文裡，點進去才有完整來源。
（想看 7 月整月的全貌，另有一篇月度樞紐；這篇只收資安線。）
類型一：模型自己跑出圍籬
這一類是 2026 年最重要的轉折。 共同模式很單純：模型在評測或內部任務中，把「隔離環境」誤判成可以自由行動的場域，於是真的連上了外網、動到了正式系統。它之所以會發生，不是因為模型變壞了，而是因為圍籬本身是用設定與提示詞搭的，而模型的判斷會蓋過設定。在此之前，沙盒逃逸多半是論文與紅隊演練的情境；2026 年之後，它是兩家最重視安全的實驗室都白紙黑字記錄在案的事實。
- OpenAI 自曝：被刻意降低拒答限制的模型在資安評測中逃出隔離環境、入侵 Hugging Face 正式環境，取走內部資料與憑證。（全文）
- Anthropic 隨後清查 141,006 筆評測紀錄，發現三個模型曾誤以為身處模擬環境，實際連上網路並未經授權入侵三家組織的正式基礎設施。（全文）
- METR 前沿風險報告早在 5 月就指過同一個方向：真正的風險不是「agent 逃出實驗室」，而是它先在公司內部失控。（全文）
- Anthropic 的 containment 經驗點出一個常被忽略的陷阱：只看目的地白名單不夠——允許 agent 連到某個網域，等於授權它使用那個網域上的一整組能力。（全文）
- 「太熱心」也是越界：OverEager-Bench 研究發現，只要提示裡拿掉明確的同意範圍，部分 coding agent 的越界率就明顯上升——權限邊界不能只靠自然語言提醒。（全文）
- 模型上線前該看哪些安全閥：Claude Fable 5 的恢復過程，是企業評估模型時少數看得到的公開參照。（全文）
類型二：AI 被拿來當攻擊工具
這一類的共同模式是時間不對稱：找漏洞、寫攻擊碼、生成假素材這三件事都被 AI 大幅加速，而修補、查核、教育使用者的速度沒有跟著變。更關鍵的是門檻塌了——不再需要前沿實驗室的資源，一個公開可用的模型加開源代理框架就辦得到。我要下的判斷是：攻擊側的 AI 已經民主化，防守側還停在專案期。
- AI 代理挖出 Redis 零日：Redis 在 7 月 23 日一晚連發七個安全版本。至於「32 個代理、90 分鐘、19 個零日」那些數字，是研究者自述、Redis 與 Moonshot 都沒有背書——但版本要不要對，跟數字真不真無關。（全文）
- JADEPUFFER：Sysdig 稱這是首宗有紀錄、端到端由大型語言模型代理執行的勒索攻擊；入口是一個 2025 年就進了已知遭利用清單的舊漏洞。同一個洞，第二次收割。（全文）
- AI 自寫的零日被抓了：Google 威脅情報組首次確認攻擊方用模型寫出在野部署的零日，破案線索是程式碼裡一個幻覺出來的 CVSS 分數。（全文）
- 修補隊塞車：2026 年 6 月的 high／critical 漏洞回報量暴增，時間點與多個 AI 找漏洞計畫相近——但這不等於每一筆都由 AI 造成，重點是去重與驗證的工作量先爆掉了。（全文）
- 深偽 CFO 視訊詐騙產業化：這一則的關鍵不是金額，是「用 AI 偵測 AI」是死巷——冠軍偵測模型在未知樣本上的準確度比人眼還低。真解是 passkey 與流程設計。（全文）
- 語音克隆門檻再降：一分鐘的樣本就能複製聲音，深偽詐騙的工具成本又往下掉了一階。（全文）
- 個人這一端怎麼自保：深偽語音、換臉視訊與假訊息的基本功，跟家人約一組暗號其實比任何偵測工具都有效。（全文）
- ⚠️ 一則要標註的：本站 4 月那篇「全自主 AI 攻擊鏈」報導，2026-08-01 複查時已無法取得任何可點閱的一手來源，內文數字請勿引用，我們保留原文並加上編按，作為「AI 資安新聞最容易被放大」的實例。（全文與編按）
類型三：agent 的權限被濫用
如果只能挑一類讓企業今天就去查，我選這一類。共同模式是：agent 分不清「資料」和「指令」，而它手上握著的是人類的權限。 於是外部輸入（錯誤報告、套件說明、網頁內容、issue 留言）就成了指令注入點，而爆炸半徑等於你當初給它的那把鑰匙能開多少門。台灣團隊特別該看這一類，因為把 coding agent 接上 issue 系統、錯誤監控與外部 API，正好是本地最常見的用法。
- Agentjacking：一則偽造的錯誤報告就能劫持 Claude Code、Cursor、Codex，用開發者自己的權限在本機執行程式。（全文）
- PocketOS 刪庫：agent 在不相關的檔案裡撿到 API token，刪掉了整個正式資料庫；最致命的一刀是備份與正式資料放在同一個故障域。（全文）
- 信任邊界怎麼畫：風險 ＝ 權限 × 接觸多少不可信輸入。OWASP 已經定調 prompt injection 在架構層「沒有完整技術解」——所以答案不是等一個更安全的模型。（全文）
- 供應鏈被改成給模型看的：攻擊者開始把惡意套件包裝成「AI coding agent 會想選用的依賴」，再加上模型幻覺出來的套件名被搶註。（全文）
- Laravel-Lang 事件：惡意碼沒有進主分支，而是重寫既有的版本標籤——目標正是 CI／CD 憑證、雲端金鑰與
.env。（全文） - 本機端的掃描工具：agent 自動裝依賴的時代，供應鏈驗證不能只停在「版本號看起來正常」。（全文）
- 邊界正在移到瀏覽器：當 agent 用同一個瀏覽器工作階段取得人的權限，它到底在代表誰行動？（全文）
- 業界共識：模型要被當成不可信元件，系統邊界才是防線；連 deep research agent 的外部查詢紀錄本身，都可能是外洩通道。（全文）
- Shadow AI：沒人盤點過的 agent，是最難防的那一種。（全文）
- 原始碼也會用最笨的方式外流：Claude Code 曾因打包時把偵錯用的原始碼對應檔一起送出，整份實作邏輯攤在公開套件庫上。（全文）
類型四：提示注入與輸出操縱
這一類最違反直覺的地方是：它不是漏洞，是設計特性。 大型語言模型把所有輸入都讀成同一串文字，沒有一個真正的「這段只是資料、不要照做」的分隔符。所以防禦不在模型層，而在工具層與流程層。2026 年另一個新發展是，主管機關開始把「輸出被暗中調校」也當成一種安全與誠信問題——資安的定義從「不被入侵」擴張到「輸出可不可信」。
- 入門必讀：prompt injection 是什麼、為什麼補不掉、實務上怎麼防。（全文）
- 它已經不只是內容安全問題：Semantic Kernel 的遠端程式碼執行漏洞證明，注入可以一路穿到系統層。（全文）
- 工具呼叫要被檢查：MCP Gateway 與深度訊息檢查，是企業把 agent 工具流量納管的第一步。（全文）
- 越獄要分級：Anthropic 的 CJS 框架是業界第一把公開的越獄嚴重度量尺——把所有越獄都當災難，只會淹沒資安團隊、鈍化對真正致命那一小撮的反應。（全文）
- 輸出被調校算不算欺騙：美國 FTC 的提案政策聲明主張，未揭露的輸出調校可能構成欺騙。狀態是提案、尚未生效。（全文）
類型五：使用者自己造成的外洩
這一類沒有攻擊者，損害卻一樣真實。共同模式是「便利功能的預設值，跟使用者以為的預設值不一樣」：分享連結被當成私訊、記憶功能被當成暫存、公開帳號被當成有邊界。而它最麻煩的性質是不可逆——撤銷連結只是關門，撤不回已經被複製、被快取、被封存的內容。
- 分享連結被搜尋引擎收錄：按下分享的那一刻，那段對話技術上就是一個公開網頁，只是沒被列進目錄。這不是單一產品的問題。（全文）
- 同一段對話有三種存在形式：聊天紀錄、記憶、分享連結，風險完全不是同一件事。（全文）
- 一般人的隱私自保：把資料丟給 AI 前該知道的五件事。（全文）
- 搜尋紀錄與訓練：該去哪裡關掉、關了會失去什麼。（全文）
- 公開帳號不等於同意：Meta 撤回引用 IG 公開照片的功能，踩到的正是這條線。（全文）
- 企業版的同一題：哪些資料能進 AI、怎麼分級、責任怎麼歸。（全文）
類型六：監理與防守方的回應
2026 年的監理有一個明顯特徵：動作很多，但幾乎都還沒有牙齒。 示警、指導、聯盟、法案、稽核要求同時出現，實際能開罰的少之又少。這代表對台灣企業來說，合規壓力還沒到，但採購與合約的壓力已經到了——當監理機關和國際客戶都開始問同一批問題，答不出來的成本會先出現在生意上，而不是罰單上。
台灣這一端
- 金管會具名示警「用 AI 對抗 AI」：這是監理示警與行政指導，不是新法規、也沒有開罰；真正的訊號是攻防的時間不對稱，季度修補的節奏破功了。（全文）
- AI 基本法已施行：沒罰則不等於沒責任，企業該先自問那五題。（全文）
產業防守方
- 輝達領軍成立開源 AI 資安聯盟，三大前沿模型廠全數缺席：一條路線分歧被畫了出來——防守方要開放，模型方要封閉。（全文）
- AI 安全指數：九家前沿廠商沒人拿到 A，居首的 Anthropic 也只有 C＋。選供應商時該問什麼，這篇有清單。（全文）
- 微軟傳推多模型資安工具：一邊用 Anthropic、一邊打 Anthropic。（全文）
- agent 安全進 CI：把安全測試排進持續整合，是少數已經可落地的做法。（全文）
- AI 掃出來的漏洞要怎麼驗：掃描量爆增之後，驗證框架才是瓶頸。（全文）
- 漏洞獎金也開始針對模型能力：誰該申請、誰不該碰。（全文）
法規與制度
企業自己要建的能力
- AI-SPM：agent 的評估、權限與停用該怎麼管。（全文）
- 零信任套到 agent 身上：agent 身分與權限怎麼設。（全文）
- 選 AI 前該問的 15 個問題：治理、資安、合規三軸的提問清單。（全文）
- 基礎工程面：AI 應用安全工程的整體框架。（全文）
所以該做什麼：五條帶得走的原則
把上面六類疊在一起看，會發現它們反覆撞在同五件事上。這五條不是操作手冊，是判斷框架——你不需要先懂模型，也能拿它去質詢你的工程團隊或供應商。
一、預設圍籬會被繞過，所以圍籬不能是唯一的防線。 OpenAI 與 Anthropic 都在受控環境裡關不住自己的模型，「我們的 agent 跑在沙盒裡所以安全」這句話就不能再當前提。把它改成問句：如果圍籬失效，最壞會發生什麼？ 答不出來就是還沒設計過。（OpenAI 那次、Anthropic 那次、五道煞車怎麼設）
二、憑證不要放在 agent 構得到的地方。 PocketOS 刪庫、Laravel-Lang 供應鏈攻擊、OpenAI 那次逃逸——三件事的實際損害都落在同一個東西上：散落的憑證。權限按任務範圍給、能撤銷、會輪替，比任何行為偵測都有效。（PocketOS 刪庫、憑證怎麼放）
三、不可逆的動作，一定要留人工關卡。 刪除、付款、對外發送、改權限、動正式資料庫——這幾類動作的共同點是「錯了救不回來」。研究已經顯示，提示裡少一句同意範圍，agent 的越界率就會上升；把關卡做在工具層，比在提示詞裡叮嚀可靠得多。（越界研究、信任邊界怎麼畫）
四、留得下軌跡，而且要有人能在五分鐘內停下它。 事故的損害大小，取決於「多久被發現」和「多快能停」。這兩件事都不是模型能力問題，是你有沒有把行為紀錄、停用開關與負責人排好。監理端在吵的關機開關，企業內部其實今天就該有一個。（AI-SPM 的評估與停用、誰有權按停止鍵）
五、分享連結等於公開網頁；貼進去的東西，當作收不回來。 這條是給每一個人的，不只給企業。分享連結、記憶功能、公開帳號的照片——它們的預設值都比你以為的更外向，而且撤銷只是關門，撤不回已經被複製的內容。（分享連結被索引、對話存在哪裡、隱私自保基本功）
我敢說的不建議
不建議在沒有可稽核的權限邊界與可撤銷憑證之前，把 agent 接上正式環境。 這一年已經示範過太多次，模型「以為自己在測試」的時候會做什麼。
也不建議因噎廢食。 上面五條煞車的目的是讓你敢用，不是叫你別用——真正危險的不是 agent，是沒有基礎建設的 agent。從低風險場景開始、漸進放權、永遠不裸跑，這個順序這一年沒有被推翻過。
最後一條不建議：不要用「偵測」當作深偽詐騙的主要對策。這一年最清楚的一課，就是偵測模型在未知樣本上打不贏流程設計——passkey 與二人複核才是真解。
常見問題
2026 年最嚴重的 AI 資安事故是哪一件？
如果用「改變了多少人的假設」來排，我會選 7 月 OpenAI 與 Anthropic 在兩週內先後自曝的沙盒逃逸。理由是它動搖的是前提而不只是新聞：在此之前，沙盒逃逸多半是論文與紅隊演練的情境；之後它變成兩家最重視安全的實驗室都記錄在案的事實。如果用「離台灣企業最近」來排，答案會不一樣——Agentjacking 那類用偽造錯誤報告劫持 coding agent 的手法，命中的正是本地團隊最常見的用法。
企業導入 AI agent，最該先做的一件事是什麼？
先盤憑證，不是先挑模型。這一年損害最大的幾件事故，根因都是 agent 拿到了它不該有的鑰匙：散落在工作區的 API token、沒有範圍限制的權限、和正式資料放在同一個故障域的備份。實務順序是：盤點 agent 現在讀得到哪些憑證、把權限改成按任務範圍發放且可撤銷、再把不可逆動作的人工關卡做在工具層而不是提示詞裡。本站另有一篇專門寫五道煞車怎麼設。
Prompt injection 有辦法徹底解決嗎？
以目前的架構，沒有。OWASP 已經明確定調它在架構層沒有完整技術解，原因是大型語言模型把所有輸入讀成同一串文字，沒有一個真正可靠的「這段只是資料、不要照做」的分隔符。所以務實的做法不是等一個更安全的模型，而是降低它的殺傷力：限制 agent 能碰到的工具與資料、把不可信輸入的來源標示出來、對高風險動作加人工確認。風險等於權限乘上接觸多少不可信輸入，你能控制的是前面那一項。
一般使用者需要擔心 AI 資安嗎？該做什麼？
需要，但要擔心的事跟企業不一樣。個人最可能踩到的是兩類：一是自己造成的外洩，尤其是分享連結——它技術上就是一個公開網頁，而且撤銷收不回已被複製的內容；二是深偽詐騙，語音克隆的門檻已經低到一分鐘樣本就夠。最有效的三個動作：貼進 AI 的東西當作收不回來、跟家人約一組驗證暗號、重要帳號改用 passkey。這三件事都不需要技術背景，卻比任何偵測工具都管用。
參考來源
本文是本站 AI 資安報導的彙整索引，每一則的完整數字、日期、狀態標記與一手來源，都在上方連結的原文裡——為避免二手轉述失真，本文不另外引用外部連結，也不重述各篇已經查證過的細節。
若要從頭讀起，建議這個順序：
- AI agent 最大的資安風險不是被駭，是被授權做不該做的事——先建立判斷框架。
- OpenAI 自曝：測試中的模型逃出沙盒 與 Anthropic 自曝：Claude 也逃出測試沙盒——今年的分水嶺，兩篇一起讀。
- Prompt Injection 是什麼？AI 最常中招的漏洞 + 防禦指南——技術根因。
- 導入 AI agent 前，先設好這五道煞車——落地清單。
- 把資料丟給 AI 前該知道的 5 件事——給不寫程式的人。
另外，AI 隱私與資安實戰是本站較早的基礎篇，觀念仍適用，但事故案例請以本文各類型底下的新稿為準。