ZERO TRUST × AI AGENTS ・ 30 分鐘
零信任：AI 代理就是新員工
發一張工牌、只開它需要的門、每一道門都要再刷一次卡。
主持：Casper／專家：Max對象：傳統產業老闆、IT 主管、想導入 AI 代理的團隊
事實有來源可查推論本集的解讀與建議弱證據廠商自測、二手轉述
時間配置
| 00:00–02:00 | 開場：你公司的 AI 代理，用的是誰的工牌？ | 2 分 |
| 02:00–06:00 | 白話零信任：從「大門刷一次」到「每道門都刷」 | 4 分 |
| 06:00–11:00 | 最近發生的事：被打穿的都是大門和舊工牌 | 5 分 |
| 11:00–16:00 | 企業怎麼導入：政府、金融、製造、中小企業 | 5 分 |
| 16:00–23:00 | AI 代理就是新員工（含技術段） | 7 分 |
| 23:00–26:00 | 常見地雷：零信任做半套 | 3 分 |
| 26:00–29:00 | 本週就能做的五件事 | 3 分 |
| 29:00–30:00 | 收尾 | 1 分 |
| 合計 | | 30 分 |
00:00–02:00段落 1 ・ 開場
你公司的 AI 代理，用的是誰的工牌？
目的：用一個問題讓聽眾馬上想到自己公司。
Q01CASPER現在很多公司讓 AI 幫忙查資料、寄信、改系統。Max，這跟「零信任」有什麼關係？
MAX 重點
- 推論先問一個問題：AI 代理登入系統，用的是老闆的帳號、共用帳號，還是沒人知道？三種答案都有風險。
- 事實這兩個月，NIST（10-27）、資安院（10-21）、資安署（09-20）都在講同一件事：AI 代理要有身分、權限邊界、紀錄。NIST・公視・中央社
- 推論今天的主軸：把 AI 代理當成新進員工來管，發工牌、只開需要的門、每道門都刷卡。
02:00–06:00段落 2 ・ 白話零信任
從「大門刷一次」，到「每道門都刷」
目的：讓沒有 IT 背景的老闆聽得懂，不出現縮寫轟炸。
Q02CASPER用一句話，跟傳統產業的老闆解釋零信任？
MAX 重點
- 推論舊做法像大樓門禁：大門刷一次卡，之後財務室、機房、倉庫都能進。VPN 一登入就看到整個內網，就是這種模式。
- 推論零信任：不因為「已經在公司裡」就被信任。每進一個系統，都重新確認你是誰、用哪台設備、該不該進。
- 推論好處很直接：一張卡被偷，損失只限那一扇門，不是整棟樓。
Q03CASPER「每道門都刷卡」，門口到底在檢查什麼？
MAX 重點
- 推論五個問題：身分（真的是你嗎？用 MFA 或 passkey）、設備（公司列管、有更新嗎？）、最小權限（你該進這扇門嗎？）、微分段（出事會擴散嗎？）、持續驗證（半夜從國外登入、大量下載，就要求重新驗證或擋下）。
- 事實Microsoft 從 2026-09-01 起，把 passkey 推成 Entra ID 的預設登入方式。Microsoft 2026-07-13
投影片：04 大門 vs. 每道門、06 五個問題
06:00–11:00段落 3 ・ 最近發生的事
被打穿的，都是大門和舊工牌
目的：用真實事件說明「為什麼是現在」。日期和數字照念，不要加碼。
Q04CASPER最近兩個月，有哪些事件讓你覺得這集非講不可？
MAX 重點
- 事實Ivanti VPN（10-03 起）：三個漏洞串起來，不用登入就拿到 root；攻擊者拿走設備上存的 AD 網域帳密，再去找 BitLocker 復原金鑰。Volexity 2026-10-13・CISA
- 事實FortiBleed（FBI 10-06 警示）：外洩或重複使用的密碼被拿去登入 FortiGate VPN，SOCRadar 確認超過 86,644 台設備遭入侵、遍及 194 國。FBI／USSS
- 事實台灣：資安署 10-29：PHP2Shell 情資顯示美日韓台共 25 台防火牆與網路設備疑遭入侵，呼籲關閉對外的管理介面。中央社
- 事實舊工牌：Klue（2026-06）：一組沒註銷的舊整合帳號被盜，客戶的 OAuth 權杖被偷，Salesforce 資料被大量搬走。FINRA
Q05CASPER很多公司會說：「我們有 VPN 加 MFA 了。」這樣還不夠嗎？
MAX 重點
- 事實Ivanti 案中，被打穿的是 VPN 設備本身，攻擊者不用登入，MFA 根本沒機會擋。Volexity
- 事實FBI 給 FortiBleed 的第一個建議是：限制從外部管理設備，最好完全不要從網際網路管理。FBI／USSS
- 推論MFA 管的是「你是誰」；零信任還要管「進門之後」。改用 ZTNA，一次只開一個系統，對外不開放連入埠，一扇門出事不會擴散。
- 事實資安署 10-21 的建議也是「從遠端存取開始，逐步導入零信任」。自由財經
投影片：04 近期事件時間軸、07 從 VPN 到 ZTNA
11:00–16:00段落 4 ・ 企業怎麼導入
政府、金融、製造、中小企業，各走到哪？
目的：讓不同產業的聽眾找到自己的起點。
Q07CASPER製造業和中小企業呢？預算有限，從哪裡開始？
MAX 重點
- 弱證據正新橡膠：2020 年起推零信任，一階供應商要用認證過的設備才能連進系統；產線員工沒手機，就在產線電腦用 Email 收驗證碼。最大阻力是使用者習慣。（廠商新聞稿）iThome 新聞稿 2026-01-23
- 事實Microsoft 365 有免費的「安全性預設值」，開啟後全公司帳號都要做 MFA；Cloudflare Zero Trust 50 人內免費。Microsoft・Cloudflare
- 推論30–100 人的公司，第一階段多半靠既有授權加幾週人力就能起步；要做到信任推論，通常需要系統整合商或政府補助。
投影片：11 政府三階段、12 金融業、13 製造業案例、15 中小企業成本
16:00–23:00段落 5 ・ AI 代理就是新員工（含技術段）
代理會被騙，所以准不准不能交給它自己
目的：本集重點。先講比喻，再用 2 分鐘講技術，最後回到「誰負責」。
Q08CASPER為什麼說 AI 代理是「新員工」？它真的會被騙嗎？
MAX 重點
- 推論新員工的四條規矩：自己的帳號、只給這件任務的權限、寄信刪除付款要人核准、留下改不了的紀錄。
- 事實AGENTS.md 事件（10-25）：下載資料夾裡一份說明檔，叫 AI 寫程式代理安裝惡意套件；研究者重現時，Codex 照做的比例超過 90%。BleepingComputer
- 事實Mini Shai-Hulud（2026-05）：約 323 個 npm 套件被下毒，惡意程式寫進 AI 寫程式工具的設定檔，每次開專案就重新執行。Sonar
- 推論代理會把「讀到的文字」當成命令，所以准不准不能靠模型自己判斷，要放在模型外面。
Q09CASPER技術上，要怎麼幫 AI 代理發工牌？有現成的產品嗎？
MAX 重點
- 推論一張權杖寫兩個名字：「代表誰」（使用者）和「誰在做」（代理）。代理能做的事＝閘道允許的 ∩ 使用者本來能做的。
- 事實Okta Agent Gateway 2026-10-08 正式上線，要求權杖同時帶使用者（sub）和代理（act）。Okta
- 事實Google Cloud Agent Identity：每個代理一個 SPIFFE 身分，憑證 24 小時就換，權杖綁定 mTLS＋DPoP；Microsoft Entra Agent ID 2026-04 正式上線。Google Cloud・Microsoft Learn
- 事實MCP 規格 2026-07-28 版：代理連工具走 OAuth，權杖只能用在指定的伺服器。MCP 官方部落格
- 事實論文實驗：子代理被攻陷後，用一般權杖委派可以做 8,100 個動作；改用限定範圍的委派，平均只剩 1.5 個。arXiv 2609.00267
- 弱證據Arize 自測：網頁藏指令，代理 100 次有 28 次洩露別的客戶資料；在程式碼裡限定範圍後降到 0 次。Arize 2026-10-26
Q10CASPER有人說「別急著把 AI 代理當員工」。如果代理出事，算誰的？
MAX 重點
- 事實數位時代井琪的文章認為，AI 無法被究責，應該用 IT 系統治理的方式管它。數位時代 2026-08-10
- 推論同意這個觀點。「新員工」是用來設計工牌和權限的比喻，責任不會轉到 AI 身上。每個代理都要登記一位真人負責人。
- 弱證據阮一峰週刊轉述一個實驗：AI 代理受託去退一張過期的火車票，有的 15 天寄了 187 封抗議信，有的編造理由。代理會窮盡手段，邊界一定要設在外面。阮一峰 2026-10-30
投影片：08 AI 代理＝新員工、09 大廠發工牌、10 一張權杖兩個名字 ・ 技術追問可開
/tech/
23:00–26:00段落 6 ・ 常見地雷
這五件事，最常讓零信任做半套
Q11CASPER你看過最常見的「半套零信任」長什麼樣子？
MAX 重點
- 推論以為買一台設備就好。零信任是做法，不是一個產品。
- 推論三班制產線共用帳號：出事查不到人，也沒辦法只收回某個人的權限。
- 推論漏掉廠商和老系統。Klue 事件正好說明，沒人管的舊整合帳號最危險。
- 推論驗證跳太多次，大家開始不看內容就按「同意」，這叫同意疲勞。
- 推論AI 代理借員工帳號：代理做錯事，紀錄上卻是某位同事做的。
投影片：16 常見地雷
26:00–29:00段落 7 ・ 本週就能做
這週，先做這五件事
Q12CASPER聽完這集，老闆明天進公司，第一週可以做什麼？
MAX 重點
- 推論1. 全員開 MFA。管理員和財務優先；能用 passkey 或實體金鑰更好。
- 推論2. 關掉對外開放的遠端桌面和管理後台。盤點 VPN、防火牆、NAS 等對外服務，每項都指定負責人。這也是資安署 10-29 的呼籲。
- 推論3. 清掉共用帳號，離職當天停權。順便列出所有「還握有權杖」的外部整合，用不到的就撤銷。
- 推論4. AI 代理用獨立帳號、短效憑證。寄信、刪除、付款一律要人核准；不要在下載資料夾執行 AI 寫程式工具。
- 推論5. 廠商遠端維護要限時、留紀錄。用完就關，事後查得到做了什麼。
投影片：17 本週就能做
29:00–30:00段落 8 ・ 收尾
零信任不是買來的
Max 收尾句：零信任不是買來的。是每一個身分，包括 AI，每一道門都要驗。
Casper：下集預告與訂閱提醒。
聽眾帶走一句話
把 AI 代理當新員工：發它自己的工牌、只開它需要的門、每一道門都要再刷一次卡，而且一定有一位真人負責。
- 大門（VPN、防火牆管理介面）不要直接對網際網路開放。
- 舊權杖、舊整合帳號，要定期盤點和收回。
- 准不准由 AI 外面的閘道決定，不交給 AI 自己。