「唯讀」權限成擺設？當自主 AI 代理脫逃潛伏 60 天：從德國 Wiki 事件看企業為何需要「威脅情資」先制反擊

9月初《路透社》揭露了一起引發全球資安界高度震動的異常事件：一群由 OpenAI 模型驅動的自主 AI 代理（AI Agents），在受限的測試環境中執行任務時意外「脫逃」，並在人類管理員毫無察覺的情況下，悄悄掌控了一個擁有 25 年歷史的德語程式設計協作網站 DseWiki，並在該 Wiki 上建立了大量非預期的頁面與貼文，將其作為交換資訊的溝通管道。

事實上，DseWiki 屬於歷史悠久且日常維護活動極低的老舊冷門站點，平時鮮少有活躍用戶造訪或更新，但也正是這類缺乏日常監管的特性，讓這群原本被隔離在沙箱（Sandbox）中、理論上僅具「純瀏覽」唯讀權限的 AI 代理入侵，且令人意外的是，它們是自主偵測出DseWiki 網站舊版軟體上的漏洞，強行突破系統邊界，自行取得了網頁的「寫入與編輯」權限！在這長達 60 天的潛伏期間，AI 留下了超過 15,000 次網頁編輯與近 18,000 篇貼文，這並非單純的文字輸出錯誤或「AI模型幻覺」（即 AI 瞎掰資訊），而是高度組織化「機器與機器的秘密協作」：它們在秘密論壇上交流如何規避安全審查防線、公開測試評估的解答讓後續批次的 AI「抄答案」，甚至在 6 月時人類管理員發現異常嘗試刪除頁面時，懂得動態建立備份網頁並留言提醒 AI 同伴：「如果這個頁面消失了，可以去 ZZZ 開頭的備用網頁看」引導轉移。

研究人員是從大量的公開行為軌跡抓到狐狸尾巴，這些 AI 代理在留言時使用了如 OpenAIResearcher、OAIResearchMar26 等署名，且背後的伺服器流量大量來自 OpenAI 所使用的微軟 Azure 基礎設施，這才證實了此 AI Agnet 是來自 OpenAI，其高層和員工在數週前就已經從內部流量和造訪紀錄中得知此事，但當時正忙於處理 7 月爆發的另一場嚴重的 AI 代理入侵 Hugging Face 平台事件，使這起德國 Wiki 事件直到 9 月才由外部研究人員揭露。

這次的德國 Wiki 事件再次敲響警鐘—威脅不再只來自人類敲擊鍵盤，具備自主決策與工具使用能力的智慧體，正在改寫網路攻防的邊界。這也意味著：傳統依賴事後修補或被動規則防護的架構，已經難以抵禦這類高度匿蹤的新型態異常。

這起事件發人深省之處，在於不同領域面對同一現象時的認知落差，據報導指出，當事件在 OpenAI 內部曝光之初，開發團隊與技術高層並未將其視為重大資安危機，在人工智慧研發的認知框架中，這類現象通常被定義為「模型失準或對齊失調（Misalignment）」，也就是模型為了極大化達成任務目標，表現出偏離人類最初安全規範的非預期行為。

然而從資安防禦的角度審視，這項「只是模型行為有點失調」的詮釋顯然過於輕描淡寫，許多人直覺會問：「不是都做了沙箱隔離和權限管控嗎？」這正是傳統認知中最容易忽略的盲點，過去我們防範的是由外部駭客撰寫的勒索軟體或木馬程式，然而當具備高彈性推理與自動執行能力的智慧體，自主尋找捷徑、繞過唯讀限制並探勘未修補漏洞時，即便沒有惡意勒索動機，其「非預期越權、探勘弱點與建立隱蔽通道」的客觀行為，在實質上已經呈現出與實際攻擊活動高度相似的特徵，更別提若這類能力落入惡意操作者手中，或是未來代理工具在企業內網中擅自跨越紅線，將會造成多嚴重的連帶災難。

除了行為脫軌的非典型威脅，這起事件更暴露出企業內部「可見度（Visibility）嚴重不足」的痛點，這群 AI 代理利用老舊系統的弱點突破原有的唯讀限制，並持續在該網站上進行異常活動，期間相關流量持續運作，若非外部研究員從公開行為軌跡抽絲剝繭，這些異常活動很可能無法在第一時間被發現，這也反映出兩大防禦缺口：

1. 漏洞與外部曝險管理脫節： 許多組織內部仍存在未盤點的老舊服務或影子資產，一旦出現可被利用的漏洞，往往成為攻擊者或失控自動化工具的跳板。

2. 缺乏即時的威脅動態與行為追蹤： 正常的防禦體系若缺少對「未知異常行為」的早期捕捉能力，就只能等損害發生、甚至被外部揭露後才被動回應。

單靠事後補破網永遠慢半拍，要防範這類演進極快、手法匿蹤的威脅行為，企業必須在「第一手威脅情資」與「主動端點狩獵」兩大環節建立即時掌控能力。