七個能力領域，三層成熟度：換一種完全不同的防禦邏輯
文／楊建洲 James Yang，Profet AI 執行長特助
上一篇看完之後，如果您正在盤算要幫哪幾種威脅各買一套對應工具，先停一下。逐項堵漏洞的思路，在人類攻擊者的年代還勉強跟得上，但當攻擊者也用上 AI Agent，新手法冒出的速度已經不是安全團隊補得完的。這一篇要談的，是換一種完全不同的防禦邏輯。
Zero Trust 這個概念最早可追溯至 1994 年，由 Stephen Paul Marsh 在史特靈大學（University of Stirling）的博士論文中首次系統性提出，2020 年由 NIST 發布 SP 800-207 正式確立具體指引。Anthropic 在《Zero Trust for AI Agents》報告中，把這套框架套用到 Agentic AI 這個全新的攻擊面上，提出一套具體到可執行層級的七個能力領域。
一個原則，三個準則
Zero Trust 的核心邏輯，用一句話概括就是：不信任任何人事物，驗證所有存取，並假設突破已經發生。展開來看是三個準則：
- 永不信任、必須驗證：任何存取請求都要經過驗證與授權，不因來源在企業內網就給予差別待遇。
- 假設已被突破：系統設計時就假定入侵終將發生，重點不在防止入侵，而在限制入侵後攻擊者能造成的傷害。
- 最小權限：只授予完成任務所需的最小存取範圍，把任何一次突破的損害控制在很小的範圍內。
比原則本身更值得留意的，是一個判斷測試：這個控制讓攻擊變得不可能，還是只是讓攻擊變得麻煩？額外的跳板、速率限制、非標準連接埠，這類仰賴「增加麻煩」的防禦手段，面對單次嘗試成本趨近於零的自動化攻擊者時，防禦力會大幅衰退。真正撐得住的控制，共享一個特徵：硬體綁定的憑證、會過期的權杖、加密身分、以及根本不存在的網路路徑。這個判斷準則會貫穿接下來要介紹的七個能力領域。
三層成熟度，是一條成長路徑，不是三個選項
Anthropic 將每個能力領域都拆成三層：Foundation、Enterprise、Advanced，Enterprise 建立在 Foundation 之上，Advanced 再建立在 Enterprise 之上，逐層強化既有控制，而不是推翻重來。Foundation 是進入 Zero Trust 的起點；Enterprise 是多數有一定規模組織應該瞄準的目標層級；Advanced 則是為高度監管產業、國安應用、或高損害後果的部署而設計。
值得留意的是，由於前一篇提到的攻擊速度壓縮，Foundation 的門檻本身已經被墊高了。過去被視為合理起點的做法，例如靠輪替 API 金鑰來管理風險，現在已經不再合格。短生命週期的權杖、加密根植的身分、以身分為基礎的隔離、自動化的第一線告警分診，這些現在都是門檻要求，而不是進階選配。
七個能力領域，是地基到治理的完整鏈條
Ⅰ. 代理身分與驗證（Agent Identity and Authentication）
身分與驗證是所有其他能力的地基，沒有可驗證的身分，存取控制無從落實，行為也無法歸因到特定 Agent。路徑是從加密根植的持久身分，走向搭配生命週期管理的憑證式驗證，最終到把憑證存放在硬體安全模組、透過遠端證明驗證完整性的硬體綁定身分。
身分確立之後，Agent 每次存取服務時還得再證明一次身分，這是服務驗證：從效期以分鐘計的短生命權杖，走向雙向 TLS 並釘選憑證，最終到硬體綁定憑證。靠輪替 API 金鑰管理風險已經不夠，因為能從程式庫中被擷取出來的憑證，輪替再頻繁也無法真正提高攻擊者的成本。
Ⅱ. 存取控制與權限管理（Access Control and Privilege Management）
一個擁有合法權限的 Agent，身分是真的，問題出在被授權之後做了什麼。路徑是從角色型存取控制的預設拒絕，走向納入時間、位置、風險分數等情境因素的屬性型存取控制，最終到每次動作都重新評估的即時授權。OWASP 提出的 Least Agency（最小代理權），把最小權限延伸到「每個工具能做什麼、多頻繁、在哪裡做」，例如資料庫工具只給查詢權限。
這裡值得把 RBAC 與 ABAC 的差異說清楚：RBAC（角色型存取控制）只看「這個 Agent 是什麼角色」，角色核定後權限範圍就固定，同一角色底下的每個 Agent 享有完全相同的存取權，不會因為當下情境而調整。ABAC（屬性型存取控制）則進一步把請求當下的情境變數也納入判斷，例如時間、位置、資料敏感度、風險分數，同樣是客服 Agent，平常時段查詢一般客戶資料會放行，深夜大量調閱高敏感資料就可能被拒絕或要求額外驗證。從 RBAC 到 ABAC，本質上是把「你是誰」的靜態判斷，升級成「你現在在做什麼、風險多高」的動態判斷，這也是 Foundation 走向 Enterprise 這一階最關鍵的防護升級。
權限模型解決的是「該不該給」，權限範圍界定則決定何時能做、能做多久：靜態權限一旦核發便持續存在，任務結束後依然保留，形成長期曝險；動態權限只在任務執行期間短暫提升，完成後立刻收回；最嚴格的即時與最小管理權限（JIT/JEA），連「提升」這個動作都壓縮到近乎即時，只在真正動手的那一刻授予，逾時或任務完成便自動撤銷，不留下任何殘餘存取。最後是資源邊界：以身分為基礎的隔離為主、網路區隔為輔，逐步走向容器化沙箱，最終到硬體隔離。處理不受信任輸入的 Agent，沙箱化執行是標準配備，不是選項。
Ⅲ. 可觀測性與稽核（Observability and Auditing）
存取控制決定什麼能被阻擋，可觀測性決定實際發生了什麼。日誌從留下時間戳記的完整紀錄，走向不可竄改的稽核軌跡，最終到即時串流進集中式監控平台。但比起追三層規格，更值得先建立兩個指標的量測機制：停留時間（dwell time，異常發生到人類察覺的間隔）與覆蓋率（coverage，告警真正被調查的比例），這是 AI 自動化能發揮最大槓桿效果的兩個指標。
可追溯性則是另一面向：為每個請求產生唯一識別碼、貫穿後續所有動作，走向跨 Agent 工作流程的分散式追蹤，最終到支援重播決策歷程的完整溯源鏈。日誌回答「發生了什麼」，可追溯性回答「為什麼會發生」。
Ⅳ. 行為監控與應變（Behavioral Monitoring and Response）
行為監控要判斷「這個行為是正常還是可疑」，需要先有基線才能識別異常。基線從人工定義走向自動學習統計基線，最終到能持續更新、偵測緩慢型偏移的階段，這一層專門對付長期記憶漂移這類手法。異常偵測則從門檻式警示走向統計方法，最終到結合情境資訊的機器學習模型。
偵測到異常後，真正決定損害大小的是應變速度。分工原則很清楚：自動化負責記錄、蒐證、撰寫報告草稿這類文書工作，圍堵、揭露、客戶溝通的決策留給人。應變能力本身也走三層路徑：告警送交安全團隊並由分診 Agent 先產出初判報告，走向自動執行圍堵動作，最終到能跨系統協調圍堵行動的 Agentic SOAR。自動化該做的是解放人類的反應時間，而不是取代最終判斷。
Ⅴ. 輸入驗證與輸出控管（Input Validation and Output Controls）
這個領域對抗的正是間接提示注入。輸入端從基礎格式驗證，走向過濾編碼酬載與可疑指令的內容過濾，最終到結合 AI 分類器與內容邊界標示的多層驗證。SQL Injection 有明確攻擊模式可防範，但 Agent 輸入是自由格式且難以預測的，單純規則式防禦並不足夠。
輸出端防的是資料外洩：從掃描敏感樣式，走向分析輸出語意、辨識社交工程風險，最終到高風險動作要求人工核准。輸入驗證防惡意操縱，輸出控管防資料外洩，兩者缺一不可。
Ⅵ. 完整性與復原（Integrity and Recovery）
當防禦措施都失效、突破真的發生後，攻擊者往往轉而竄改 Agent 的設定檔本身。路徑是從版本控管走向加密簽章，最終到不可變基礎設施：設定不再被修改，而是整組汰換，執行前先驗證映像檔完整性。
有一個和一般直覺不太一樣的做法：對風險可接受的元件，開啟自動更新反而比堅持人工核准更安全，因為人工核准的延遲本身就是風險。讓自動更新與部署前簽章驗證兩者並存：已簽章的更新自動流過，未簽章的變更直接拒絕。復原路徑則是從文件化回滾程序，走向自動化回滾，最終到自我修復系統。無法可靠回滾到已知良好狀態，再多自動化也救不了局面。
Ⅶ. AI 治理政策（AI Governance Policies）
技術控制只能落實治理政策定義的規則。路徑是從文件化的可接受使用政策，走向納入資安、法務、業務等利害關係人的跨部門治理框架，最終到把政策檢查整合進部署流程、自動偵測違反情況。Shadow AI，也就是員工未經核准私下使用 LLM 工具，會繞過所有上述控制機制，這是治理層要面對的現實問題。
七個能力領域，是地基到治理的完整鏈條
七個能力領域看完，您不需要為每一種新出現的攻擊手法重新設計防線，需要做的是檢查企業現有的 Agent 部署，在這七格裡站在哪一層。身分讓歸因與存取控制成為可能，可觀測性揭露實際發生的事，行為監控偵測異常，輸入輸出控制在邊界處攔截攻擊，完整性保護讓復原成為可能。跳過任何一格，攻擊者就會從那個缺口進來。
下一篇，我們將從框架走向落地：一套具體的實作工作流程，以及當攻擊速度已經被壓縮到以小時計算，防禦端的資安維運又該如何加速跟上。