- 4天：整場攻擊行動的持續時間。
- 12波：攻擊系統發動的總波次，逐波調整策略。
- 8個：單一波次最多同時部署的AI Agent數量，平行執行偵察、測試與驗證任務。
- 1,395個：資安團隊還原的工作檔案數量，完整揭露攻擊流程。
- 85組：遭破解的政府人員帳號密碼；其中84組可直接登入另一套內部系統，橫向移動成功率高達98.8%。
- 2,564筆：至少被竊取的人員資料數量。
- 21套：AI攻擊系統描繪出的彼此連結政府資訊系統。
- 36個以上：在其中一套系統上發現的API端點，不少缺乏身分驗證，其中一個甚至直接暴露員工資料庫。
- 5次：攻擊系統的「學習週期」最多循環次數，卡關時自主尋找新攻擊方法。
- 7項：攻擊系統自己發現、又自行交叉驗證推翻的誤判，例如將伺服器延遲誤認成SQL注入成功。
今年7月初，一場針對台灣政府機關的網路攻擊悄然發生，不到4天就落幕。這起事件的曝光，是資安公司Dream Security在8月12日揭露的一份完整工作資料，他們從1,395個工作檔案中，還原出一場為期約4天、歷經12波攻擊行動的AI網路攻擊，並且首度披露單一波攻擊行動最多同時部署8個AI Agent執行任務。最終，這套攻擊系統破解85組政府人員帳密，取得至少2,564筆人員資料，還將攻擊範圍擴大到與政府機關相關的資訊供應商、核能安全機構及能源業者。
這起事件最引人注目的地方，不在於損失數字本身，而在於攻擊的進行方式。Dream Security將這場行動描述為「近自主式攻擊」，報告指出駭客使用的AI攻擊系統建立在Hermes與OpenClaw等AI Agent架構之上。至於攻擊者來自何方？研究團隊僅能依據攻擊系統內部報告使用簡體中文、而針對攻擊目標的內容分析使用繁體中文，推斷攻擊者為中文使用者，但並未明確指出攻擊者與受害國家的身分。有消息人士指稱，這起AI網攻事件的受害國正是台灣。
在報告揭露的隔天，數位發展部對外證實，政府資安監控單位在7月偵測到異常網路攻擊，發現境外駭客結合Open Claw等AI Agent進行混合攻擊。這等於從官方角度，印證了這類攻擊確實正在真實世界發生。
對台灣而言，境外網路攻擊幾乎是天天發生的事。若只看表面數字，很容易把這當成又一起政府機關遭駭事件。但細看攻擊過程，就會發現事態完全不同。這次不只是有人在幕後利用AI協助寫程式、分析漏洞或操作工具，攻擊者已經把多個Agent組織成一套接近自主運作的攻擊系統，讓AI參與環境偵察、漏洞分析、帳密破解、攻擊評估、方法研究、結果驗證與錯誤修正，還能把每一次的攻擊成果回饋到下一波攻擊。AI正在從駭客手邊的輔助工具，逐漸變身為自主行動的攻擊手。
十多年前，資安公司Mandiant在2013年發布的APT1調查報告，揭露一個長期從事大規模網路間諜活動的駭客組織，首度讓國家級APT攻擊具體進入全球公眾視野。而Dream Security這次揭露的事件，也可能成為另一個值得記住的時間點——它讓外界罕見地如此完整地看見，AI Agent如何被組織成一支可以平行作戰、持續學習、自行驗證並動態調整策略的自主攻擊團隊。
Dream Security將這起事件的攻擊鏈分成6個階段：目標偵察、獲取SDK、初始入侵、橫向移動、竊取資料及供應鏈拓展。第一階段和傳統網路攻擊沒有太大不同，都是從偵察開始，只是這次有AI Agent一起參與。攻擊行動先從一個以Angular開發的政府單一帳號登入入口網站開始，Agent下載並分析網站的JavaScript打包工具檔，從編譯過的程式碼中取得網址、API端點、OAuth用戶端名稱，以及該網站使用的身分驗證與存取管理平台設定資訊。
沿著這些線索，這套AI攻擊系統最後辨識出21套彼此連結的政府資訊系統，並描繪出單一登入的完整架構，包括6個子領域、所有OpenID Connect端點、2把RSA簽章金鑰，以及身分驗證流程。在其中一套系統上，它甚至找到超過36個API端點，涵蓋帳號管理、使用者資料、檔案上傳與管理功能，其中許多完全沒有身分驗證，有一個API甚至直接暴露使用者資料庫，洩漏數千名員工的姓名、部門與單一登入帳號。
這套AI攻擊系統在偵察階段所做的，不只是找出更多漏洞，更藉由持續探索與追蹤資訊之間的關係，建立整個目標環境的攻擊面與信任關係圖。換句話說，AI不只在找門鎖沒關的窗戶，更在畫出整棟建築的平面圖和鑰匙流通路徑。
攻擊鏈的第二階段更能看出Agent自主性與傳統攻擊自動化的差異。Agent在反解譯JavaScript程式碼後取得一個網址，循線找到以GitBook建置的單一登入系統開發整合文件，利用GitBook提供的llms.txt頁面索引與原始內容機制，系統化取得相關文件，再從中找到下載連結，取得Java Spring Boot與ASP.NET Core 8.0兩套SDK整合程式範例。
接著，攻擊系統利用一種被稱為「Local-LLM-SAST-0day」的方法，讓大型語言模型對SDK範例進行靜態程式碼分析，挖掘新的攻擊入口。最後它找到包括開放式重新導向、CSRF防護停用、重新導向網址未驗證等潛在問題，但後續並沒有成功利用這些問題攻破系統。交叉比對確認後，真正造成入侵的弱點反而來自伺服器端，例如後門端點、JWT驗證缺陷與未驗證的API。
這個看似失敗的過程，反而凸顯AI自主攻擊的重要特性：失敗的成本變得很低。如果一名資深攻擊者要花數小時閱讀文件、下載SDK、分析程式碼，最後卻沒有找到可利用弱點，投入的專業人力與時間成本絕對遠高於AI Agent。在AI Agent架構下，不需要預期每一次探索都會成功才投入測試；一條攻擊路徑測試後沒有顯著效果，就直接降低優先度，立刻轉移算力與工作目標。一旦試錯的邊際成本降得足夠低，大量試錯本身反而成為一種競爭優勢，而這將改變整場攻防的經濟學。
完成目標偵察與資訊蒐集後，AI攻擊系統的下一個目標，就是找出真正能進入系統的方法。研究發現，這套系統會同時探索多重破口。Agent在其中一個政府Web應用程式中發現3個隱藏的API端點，而且這些端點沒有採取相關驗證保護，只要對API送出任意請求，無需正確帳號密碼，就能取得有效的已驗證工作階段。研究團隊研判，這些應該是開發期間用來除錯的API端點，系統上線後忘了移除，成為正式環境對外曝露的破口。
同步展開的另一條攻擊路徑，則從弱密碼下手。利用先前發現的API問題，在成功取得政府員工帳號後，AI攻擊系統開始對辦公自動化入口網站以密碼噴灑手法猜測密碼，方法並不新奇，就是根據員工ID與帳號名稱，逐一猜測常見的弱密碼模式，例如改變大小寫或加入常見特殊符號。結果第一輪測試就成功破解12組帳密，後來又以這些可行的方法擴大測試，再成功破解73組。
除了破解密碼，一般網站常見的人機驗證防護也難不倒這套系統。Agent直接呼叫開源文字辨識工具辨識驗證碼圖片，成功率達到100%，可見傳統驗證碼面對AI辨識，有效防護強度已大幅下降。另外，其中一套政府API還存在JWT簽章驗證設定不當的問題，程式開發者不慎將其設定為可接受未簽章的權杖，亦即無需數位簽章演算法驗證，攻擊者可以在不知道簽章金鑰的情況下偽造身分權杖。
在尋找系統漏洞的階段，AI攻擊系統利用的都是資安界早就熟悉的問題。與過往不同的是，透過Agent可以很快把不同手法組合、測試，再把成功的結果立即變成下一步輸入，讓攻擊效果更有威力。
取得85組帳密之後，AI攻擊系統開始以這些憑證，有系統地登入其他與單一登入系統相連結的政府機關系統。結果85組帳號中有84組成功登入另一套內部資訊系統，成功率高達98.8%，讓攻擊系統取得內部儀表板、設備管理介面與人事統計頁面的存取權。
為何破解帳密之後就能順利橫向移動，關鍵在於這些系統直接信任上層單一登入平台的身分驗證結果，沒有就登入要求再做一次身分驗證或多因素驗證。原本一個看似不太嚴重的弱密碼問題，結合單一登入的信任關係之後，便成為跨系統橫向移動的關鍵跳板。
打入政府資訊系統後，攻擊行動並未就此罷手。後續還把偵察與攻擊活動往外擴及政府機關的資訊供應商、核能安全機構、政府電子郵件系統廠商，以及7家以上的能源業者，尋找這些組織的系統錯誤設定、外曝管理介面有無可利用的弱點。這也迫使人們思考：一旦Agent取得有效的身分驗證，沿著系統賴以維運的信任關係，一路進攻能夠打到多遠？受波及的系統範疇可能有多大？
不過，AI攻擊也不是所向無敵。這套系統曾發現一個設定不當的API，也成功利用其未限制檔案上傳的漏洞，把Web Shell傳到伺服器上，但最後這條攻擊路徑沒有成功，因為該系統有第二道表單驗證把攻擊阻擋下來。這也再次顯示，即使AI攻擊系統有其厲害之處，藉由多層次的防護措施，還是能夠有效阻擋攻擊行動。
這套AI攻擊系統之所以能稱為近自主性攻擊，在於Agent能夠自主決策，而非依靠人類攻擊者判斷。關鍵是它利用貝氏後驗機率評估各個可利用的漏洞，計算每一條攻擊鏈的成功機率，以數值作為Agent的決策依據。這個攻擊決策機制有兩層：第一層針對個別弱點評分，新發現的弱點最初都賦予初始機率值0.5，再根據驗證結果調整可信度；若可利用機率大於0.95，就正式納入攻擊鏈使用；大於0.7，投入更多資源測試可利用性；大於0.5但暫無足夠證據，排入下一波評估；低於0.3的弱點直接放棄。
第二層則評估整條攻擊鏈的成功率。以上述透過單一登入系統橫向移動為例，雖然AI攻擊系統先前已取得85組帳號密碼，也偵測到目標網站處於連線狀態，理論上已可成功入侵，但系統對這條攻擊鏈成功率的評估是99%，而非百分之百，因為不能排除目標網站隨時斷線的可能性。最後攻擊行動執行結果，84組帳號都能成功登入，換算成功率為98.8%，與99%相去不遠。有了這套評估機制，AI攻擊系統就能透過數值判斷，達到與人類駭客雷同的決策能力，自主評估哪一條攻擊鏈值得繼續、要投入哪些資源、或已不具價值而斷然放棄。連攻擊判斷與資源配置，也逐步機器化了。
這套AI攻擊系統還設計了所謂「學習週期」。遇到現有攻擊方式無法突破時，系統不只是停下來等待人類提供下一個指令，而會自主搜尋漏洞資料庫、程式碼儲存庫與相關資安研究資料，尋找針對目標環境的有效方法。研究發現學習週期可多達5次循環，每一輪的研究方向並非漫無目的搜尋，而是依照既定架構蒐集整理知識，包括目標機關使用的產品與技術架構、相關產品過去有哪些漏洞揭露、有哪些系統曾出現類似弱點、目前防禦條件下哪種技術成功率較高，以及實作的優先順序，再將學習成果匯整到下一輪使用。這等於讓Agent學會人類紅隊工程師的流程：攻擊方法無效後，進一步查找資料，尋找實證過的攻擊手法，據以修正方法，再進行一次攻擊測試。
這套系統更難纏的是它能發現自己的錯誤。一個典型的例子是對盲目SQL注入攻擊的誤判：有一個Agent對註冊表單API的暱稱欄位進行SQL注入測試時，發現伺服器延遲21秒回應，遂判斷可能成功執行了延遲語法的注入攻擊。不過由於這套系統具有交叉驗證設計，新發現的弱點要交由其他三個Agent進行兩輪測試，才能納為攻擊行動所用。也因此，這次發現在進一步測試後，發現網頁延遲回應21秒根本不是SQL在執行延遲語法，而是伺服器發生郵件逾時所導致，這個原本以為可利用的弱點就被永久排除。在整個攻擊週期的12波行動中，這套系統記錄了7項自己發現又自己推翻的誤判情形。
當Agent不僅會使用工具，也能夠判斷有效的弱點與攻擊路徑，同時在策略失敗時會自主學習，甚至還有自我交叉驗證能力以避免多走冤枉路，這套AI攻擊系統就已經不再只是利用機器做更多事，而是讓自動化攻擊開始更接近自主化攻擊。
從上述攻擊流程亦可見，這起AI網攻利用的弱點、漏洞與攻擊方法其實並不新，但是把攻擊手從人類換成機器，賦予機器自主辨斷機制，讓攻擊流程的循環速度夠快，即使只是把已知的攻擊手法組合在一起，攻擊的性質就會開始改變，而這正是AI自主攻擊的典範轉移所在。
第一個轉移，是從使用AI輔助，走向管理AI攻擊團隊。這幾年駭客充分利用生成式AI的優勢，一開始用AI撰寫更逼真的釣魚郵件、加速漏洞分析、程式碼撰寫與惡意程式開發。隨著AI Agent興起，駭客不再只是把AI當成輔助工具，而是利用Agent的自動化特性，將原本大量偵察、測試、驗證與研究的工作交由不同Agent負責，讓Agent成為第一線攻擊手，人類攻擊者的角色則轉變為任務設定與行動指揮。在這起事件中，攻擊系統單一波最多可部署8個Agent同時工作，形同一支能夠分進合擊的虛擬攻擊團隊。未來人類攻擊者不再只是管理漏洞掃描或惡意程式庫等工具，而是管理一支能夠自行閱讀文件、研究弱點、驗證結果、調整策略的AI攻擊團隊——所謂「軟體定義攻擊團隊」的雛形已經出現。
第二個轉移，是從自動化走向自主化。所謂自動化，是由人決定流程，再交由機器執行流程。例如攻擊者可以事先把常見漏洞利用、帳密測試與橫向移動方法寫進程式，再由工具按預設腳本逐步執行，中間遇到錯誤，通常仍需要人類根據結果重新調整參數、修改工具，再重新執行。自主化則不同：由人設定目標與約束條件，再由AI系統自行選擇達成目標的路徑。從揭露的攻擊系統來看，Agent會自己探索攻擊面、自己查資料、自己調整攻擊優先順序、自己重新測試，遇到原有方法受阻時，還會啟動學習週期搜尋新的技術資源；如果發現先前判斷錯誤，也會自行重新驗證並排除誤判，再把成果回饋到下一波攻擊。值得注意的是，報告將這起攻擊描述為近自主化，而非完全不需要人類介入的全自主攻擊。
第三個轉移，是從一人多工走向多Agent平行作戰。在過往以人類為主導的攻擊模式下，技巧高超的駭客可以同時執行多項工作，就像一位經驗豐富的廚師同時顧著多個爐火。但廚師的注意力仍然有限，同一當下真正能深入思考處理的事情只有少數幾項。Agent則改變了這個限制。這套AI攻擊系統單一波最多同時部署8個Agent，在整場行動中同時維持14條攻擊鏈。每個Agent可以分頭進行偵察、API分析、帳密攻擊、弱點驗證或研究新方法。對仍然高度依賴系統告警逐案處理的防守方而言，這將形成極為不對稱的競爭局勢。
第四個轉移，是大量試錯成本降低，翻轉攻擊經濟學。過往要發動高階攻擊行動，往往需要技巧高超的駭客投入大量時間進行偵察、研究、測試與調整，而高階駭客本身就是稀缺資源，因此攻擊的時間與人力成本都很高。揭露這起事件的資安公司在報告中直指，執行一場具備相當能力的攻擊，其成本已經大幅下降，但防守同等攻擊的成本並沒有同步降低。Agent分析SDK而沒有找到可利用漏洞，就直接放棄；以為可被利用的注入攻擊最後驗證是誤判，就排除不再考慮；Web Shell雖然成功上傳但無法執行，就降低這條攻擊路徑的優先等級。當攻擊者可以用較低成本同時測試更多目標、更多弱點與更多攻擊路徑，防守方卻仍然必須依賴人力逐案判斷、調查與修補，攻防之間的成本結構就會開始失衡。這可能是AI自主網攻最核心的不對稱問題之一。
第五個轉移，是過去被容忍的資安債，一夕變成可利用的攻擊面。從這起事件來看，真正造成入侵的關鍵並不是AI挖掘出零時差漏洞，恰恰相反，攻擊成功利用的弱點主要來自大家早已熟悉的資安問題：未經身分驗證的API、正式環境遺留的除錯用API、設定不當的JWT驗證、過度信任單一驗證、脆弱的密碼。這些問題在過去或許因為「攻擊者沒時間一個一個試」而被容忍，但當AI可以不眠不休、平行地毯式測試，過去的資安債就一夕變成可利用的攻擊面。
這起事件給防守方的啟示相當明確：多層次防護仍然有效，那次被第二道表單驗證擋下的Web Shell攻擊就是證明。但防守策略必須跟著改變——當攻擊方已經開始管理一支AI攻擊團隊，防守方不能再只靠人力逐案處理告警。對一般企業與政府機關來說，盡快清償那些「早就知道但一直沒修」的資安債、為單一登入加上多因素驗證、淘汰脆弱密碼，已經不是加分題，而是面對AI自主攻擊時代的必修課。
後續值得關注的發展包括：資安公司是否會公開更多技術細節；官方單位會否針對這類攻擊發布新的防護指引；以及其他國家的資安團隊是否也偵測到類似的AI自主攻擊行動。當AI已經可以自己執行一場網路攻擊，攻防雙方的競賽規則，正在被重新書寫。
