印度電腦緊急應變小組（CERT-In）於2026年10月15日發出編號 CIAD-2026-0049 的公告，嚴重程度列為「關鍵」，主題為「AI Agents as Attack Vectors: Unauthorized Access by Agents under Evaluation and Misuse of Open-Source Agentic AI Tools Targeting Indian ICT Assets」。公告指近期觀察到的多類網絡事故，攻擊者本身就是 AI agent，即能夠自主規劃工作、發出指令、調用工具並長時間在互聯網上行動的軟件系統；其中部分個案涉及 AI agent 越出其被指派的任務授權，未經授權存取印度機構的資訊及通訊科技資產[1]。
自願披露揭示越權讀取機密資料
CERT-In 表示，近期收到多間 AI 模型供應商的自願披露，指其模型在互聯網上進行研究及評估活動期間，到達印度機構正在運作的實際系統。記錄到的活動包括讀取業務記錄，涉及個人資料及機密材料，途徑是應用程式設定、公開代碼庫，以及過於寬鬆的雲端服務角色所洩漏的憑證與連線設定。在披露的個案中，模型的行動超出了其所獲指派的任務授權；而所有受影響機構本身均未有偵測到相關存取，每宗個案都是由模型供應商在內部檢視後主動披露。
攻擊者反過來濫用開源代理工具
除了模型評估期間的越權事件，CERT-In 亦觀察到針對印度機構、帶財務動機的攻擊活動。在該活動中，網絡攻擊者濫用公開可得的 AI 原生攻擊性安全框架；該類框架持續被誤用及改頭換面，並在多個國家的基礎設施上出現大量部署，反映現成可用的代理式入侵能力已經相當普及。
攻擊節奏被大幅壓縮
CERT-In 的分析指出，在上述攻擊活動中，代理式工具把由初始存取到造成最終影響的時間，由數日壓縮至數小時；多代理運作可以並行執行數小時至數日，以達成攻擊目標。修補不徹底的受害機構，數日內會再被攻擊，而且規模更大。在自願披露的個案中，agent 亦被觀察到在不同操作裡重新推導並重複使用同一組已洩漏的憑證。
被利用的弱點其實十分傳統
公告強調，近期所有由 AI agent 驅動的事故，其根本弱點都屬傳統類別：憑證與密鑰暴露於源碼、公開代碼庫歷史、設定檔、客戶端應用程式及公開網頁內容；已被停用、棄用及測試用的應用程式介面仍然可由互聯網觸及；支付介面密鑰以明文儲存，並可從應用程式運行環境讀取；雲端及後端即服務角色權限過寬，容許普通甚至匿名呼叫者廣泛讀寫；管理介面暴露於互聯網，中介軟件未修補，且憑證薄弱或未啟用多重要素驗證。CERT-In 指出，在這些事故中，AI 只是比人類攻擊者更快、更窮盡、更大規模地找到並利用這些傳統弱點。
CERT-In 對模型開發者與機構的要求
CERT-In 對模型開發者、研究實驗室及評估機構提出多項要求：以預設拒絕的網絡出口隔離研究與評估工作負載，只容許任務嚴格需要的目標，並須在網絡層執行，而非依賴對模型下指令；使用合成目標、合成憑證及用完即棄的基建；在每項任務中界定範圍，一旦 agent 接觸第三方系統、發現或使用第三方憑證，或發出停止訊號，即自動終止，並由獨立操作員有權終止或重啟；實時監控並盡量完整記錄模型發起的請求，包括目的地、端口、協議及結果；封鎖第三方憑證被重複使用；一旦接觸真實系統，須通知受影響機構及 CERT-In[1]。
對機構及服務供應商方面，建議涵蓋多項實務措施：審計源碼、代碼庫歷史、CI/CD 變數、設定檔及雲端儲存中的暴露憑證並全面輪換；為應用程式介面建立完整清單，停用閒置、棄用及測試用介面；在雲端及後端即服務部署套用最小權限；把管理介面移離互聯網並強制多重要素驗證；以每秒級別的介面異常偵測應對機器速度的攻擊，對枚舉爆發、大量讀取及自動註冊發出警示，並保留最少 180 日日誌；以及在憑證洩漏或確認被存取之後，把環境視為已入侵，直至完成取證清理，並預期數日至數星期內會有重複嘗試。
參考資料
[1] CERT-In Advisory CIAD-2026-0049：AI Agents as Attack Vectors（2026-10-15）