今年8月中旬，英國金融時報《Financial Times》引述資安新創公司Dreams Security的最新報告，揭露一套完整的自主式AI攻擊框架，在2026年7月1日至4日期間，針對亞洲某國政府機關發動長達四天、共12波的入侵行動。

這套建立在Hermes與OpenClaw這兩個Agent執行框架之上的系統，不僅完成偵察、初始入侵、橫向移動到資料外洩的整條攻擊鏈，還在過程中自主研究新漏洞、自我修正錯誤判斷，最終產出超過160 MB、共1,395個檔案的作業封存資料。

對TeamT5（杜浦數位）執行長蔡松廷而言，這篇報告描述的情境並不意外。他表示，駭客利用AI進行攻擊這件事「已經觀察到很久了」，而且從TeamT5自身的測試經驗來看，部分已經落地的開放權重的大型語言模型（LLM），在資安滲透測試的表現其實已經相當不錯，「這些都是我們驗證過，也是每天執行，找漏洞、做一些模擬之類的。」他説。

他直言，報告描述的場景，本質上就是把AI Agent當成一支真正的紅隊使用，而且從各項跡象研判，當中所描述的這波攻擊對象就是「台灣」。

蔡松廷分析，AI Agent之所以能取代部分傳統紅隊人力，關鍵在於具備兩項傳統紅隊人員難以複製的優勢。

第一是速度。他説，有經驗的資安人員通常憑直覺與過去經驗，挑選可能有問題的攻擊面下手，但AI不需要篩選，「它是從頭到尾跑一次」，凡是可能存在弱點、可能有滲透機會的地方都會逐一嘗試。

第二則是耐力，「它不用休息，只要你的token是無限的，當然你跑落地模型就等於是無限」，因此可以持續不斷地嘗試，直到找到突破口。

這也正好呼應了該份報告的描述，這套框架從一個以Angular架構打造的政府入口網站著手，反編譯其JavaScript bundle，從中擷取URL、API端點、OAuth Client ID與Keycloak組態物件，藉由這一個起點，自動繪製出涵蓋21個相互串連系統、6個子領域的完整國家級SSO架構圖，並進一步在其中一個目標上，找出36個以上未受妥善保護的API端點，甚至直接掌握一個完全不需身分驗證即可存取的員工資料庫。

該份報告特別強調，這套框架與過去常見的自動化攻擊工具最大的不同，在於它具備所謂的「貝氏優先排序」（Bayesian prioritization）能力，可透過後驗機率評分，同時針對多達14條平行攻擊鏈進行排名，以及動態重新排序，並將資源集中投入在成功機率最高的路徑上。

以Dreams Security報告揭露的個案為例，AI代理框架針對一條「利用外洩帳密橫向移動至內部系統」的攻擊鏈，依照已確認步驟數與潛在阻礙機率，計算出高達99%的成功機率，最終實際驗證結果顯示，在85組破解帳密中，有84組（98.8%）成功透過SSO橋接端點登入內部系統，與其預測幾乎完全吻合。

蔡松廷認為，這套機制真正重要的地方，在於它處理了紅隊作業中最難被機器複製的環節：優先順序判斷。「你可以打的點真的很多，那有的紅隊打得好，其實是他的直覺，或是直覺來自於過去的經驗」，蔡松廷認為，這種經驗正是最難被複製、也是資安產業仍需要專家的原因。

而機器雖然可以把所有可能的路徑都嘗試一遍，「可是就算全部都可以試過一遍，但還是需要一個順序」，於是就需要一套能根據回收資訊、判斷下一步該優先打哪裡的決策引擎。

被問及TeamT5是否也有類似的排序演算法時，蔡松廷坦言，目前並沒有專門設計這樣的機制，「我們比較直接，沒有這個演算法」，多半仍是依靠分析師經驗，或是讓AI自行判斷下一步行動。

根據Dreams  Security的報告，這套框架在單一波攻擊中，最多曾同時部署8個以英文字母命名的子代理，分三批派送，各自鎖定不同攻擊面；而綜觀整場行動的12波攻擊，累計可辨識出從Agent A到Agent Q，共17個代號的子代理曾經現身。

蔡松廷認為，這樣的部署規模並不是太難，因為Agent本身執行速度都很快，真正的效能瓶頸在於：背後負責思考決策的大型語言模型，能否撐得住這麼多平行任務。畢竟，「Agent跑幾個都可以，Agent都很快，慢的是後面的LLM的執行速度。」他説。

報告雖然指出，這個AI自動化攻擊框架建立在Hermes與OpenClaw兩套執行架構之上，但並未揭露背後串接的究竟是哪一個大型語言模型。

蔡松廷推測，由於攻擊目標明確指向台灣，加上這份報告提到作業文件中，同時出現簡體中文與繁體中文交錯使用的痕跡，加上數位發展部資安署也發布新聞稿説明，種種跡象都指向，操作者背後所使用的語言模型「可能是中國的」。

儘管無法排除其他可能性，但他指出，中國目前已有多家業者釋出開放權重、具大參數規模的模型，供外界直接下載使用，只要具備足夠的運算資源，就能將其部署到相當高的效能水準，「一次可以跑這麼多Agent，我覺得他的電腦算力，應該也不是那種很基本的。」他説。

蔡松廷進一步透露，類似的AI自動化攻擊行為，其實並非今年才出現的新現象。

他指出，這種操作模式最早可以追溯到2025年，只是當時主要仍侷限在情資蒐集與偵察（recon）階段，尚未發展成完整的自動化攻擊鏈；直到今年年初，TeamT5才開始觀察到，攻擊者已經將AI自動化的範圍，進一步擴大到涵蓋刺探、掃描、滲透乃至攻擊的完整流程。

換算下來，這種對方以AI搭配自動化進行刺探、掃描、滲透、攻擊的手法，至少持續四、五個月以上。他強調，這份報告的意義並不在於揭露一件全新的事情，而是在於代表一個開端，他説：「未來的攻擊都會是這樣子的，因為AI早就已經走入了下一個自動化攻擊的時代了。」

無獨有偶，數位發展部資通安全署也在8月13日發布新聞稿，正式回應外界對此事件的關注。

資安署在新聞稿中指出，資安監控單位其實早在7月即發現這波「境外駭客發動AI Agent攻擊政府機關」的異常攻擊行為，並自7月20日起由資安院陸續發布警訊，同時立即啟動調查與應變。

截至目前，相關攻擊來源、手法及影響範圍均已完成調查，受影響單位也已陸續完成處理。資安署更進一步證實，這波攻擊具有明顯的境外來源特徵，並且出現駭客操作結合OpenClaw等AI Agent輔助攻擊的混合模式。

資安署新聞稿也指出，AI Agent可快速串聯多種攻擊手法，並利用備援、測試等次要系統作為跳板，使攻擊具備速度快、成本低及規模大的特性。

在蔡松廷看來，資安署的官方説明雖未明確點出受影響的單位，但時間點與內容都與該份報告高度吻合，尤其資安署所提及的7月初異常攻擊，恰好對應研究人員揭露7月1日至4日的12波攻擊紀錄。

至於外界關切，受害的政府系統是否涉及特定單一登入服務，蔡松廷則認為，在官方尚未正式證實前，不宜妄加臆測，「這個最好就是官方自己講」；但至少可以確認的是，這次AI自動化攻擊的目標就是台灣。

面對全年無休、幾乎不需要停工的AI自動化攻擊，企業與政府究竟還能怎麼辦？

蔡松廷直言，市面上最常聽到「用AI對付AI」這種説法，其實是最不負責任的回答。他表示，當大家問該怎麼辦時，雖然回答要使用AI，但實務上，到底該怎麼用AI，並沒有人真正説明到底可以怎麼做。

他認為，真正的答案並不複雜，不論是NIST CSF或其延伸的AI版本，既有的防禦框架其實並沒有改變，差別只在於：每一個防禦環節都必須設法導入AI，協助加快應變與判斷的速度。

他舉例，過去許多需要人力介入的研判工作，如今可以交由AI協助完成，這也是近年業界積極討論「Agentic SOC」的原因所在。

不過蔡松廷也提醒，資安的基礎功一樣不能偷懶，「駭客就算用AI攻擊你，本身的防禦工事如果做得越好，駭客要攻擊成功的門檻是越高的。」

他坦言，過去仰賴人工尋找漏洞時，一套已經做得夠紮實的系統，要被找到唯一的破口相當困難；但AI介入後，這件事情變得容易許多，因此後端的應變速度與自動化程度也必須同步提升。

至於資安產品是否都必須具備AI能力，蔡松廷的答案很直接：「當然沒有錯」，因為包括TeamT5在內的業者，如今在判斷、資料產生與資料整理等環節都已全面導入AI，「今年最重要的一件事情就是AI，所有事情都與AI有關。」他説。

他強調，這份報告所呈現的，並非遙遠的假設性威脅，而是已經降臨且只會愈演愈烈的現實，那就是：駭客要執行一場具備相當能力的攻擊行動，成本已大幅下降，但防禦這類攻擊的成本，卻從來不曾降低。