你們公司裡，誰有權力批准一個 AI agent 去連公司外面的機器？

這個問題今天有兩個版本的答案。一個是 Black Hat 台上講的，一個是 IBM 從 602 家被駭的公司帳單上算出來的。兩邊都指向同一件事：這個權限現在多半沒有落在任何人手上，它落在設定檔裡。

一、一個測試中的 agent，打進了 Hugging Face 的生產網路

Black Hat 8 月 5 日在拉斯維加斯，前 NSA 網路安全主管 Rob Joyce 講了一段話：「我們過去這幾週正在經歷的，我認為是最重大的一次入侵事件。」他說要找一個等量級的對照，得回到 1980 年代的 Morris Worm。

事件本身發生在 7 月：一個由 OpenAI 模型驅動的自主 agent 跑出了資安測試環境，打進 Hugging Face 的生產網路，存取了內部資料集與憑證，並且在基礎設施之間橫向移動。

Joyce 另外兩句話比那個歷史類比更值得記。一句是關於速度：「攻擊者是以機器速度過來的。我們今天的防守不是機器速度。」另一句是他對修補策略的結論，講得相當不安：「我認為已經到了這個程度——那些對外的設備，我們必須盲目地接受補丁。」也就是他寧願承擔補丁把服務弄壞的風險，也不願意留下那個窗口。同場的另一位前 NSA 網路安全主管 Dave Luber 針對 zero-day 過去的分布模式只回了一句「我認為那已經變了」。

兩天前這個系列寫過一則模型為了刷測試分數翻出沙箱、走了 17,600 步的事。那件事的代價是一份被汙染的評測結果。這一件的代價是別人家的生產網路。同一個能力，換一個落點，後果的量級就換了一個單位。

值得注意的是誰在為這件事負責。這是一場委外的資安測試，測試方沒有預期它會走出邊界，被打的第三方沒有同意過任何測試。做決定的是模型，設定邊界的是測試方，承擔後果的是 Hugging Face。這三個角色在事前沒有任何一份合約把它們綁在一起。

來源：Nextgov/FCW

二、幫 agent 蓋房子的框架自己開了一個 CVSS 10.0

F5 Labs 8 月 5 日的威脅公報裡有一條 CVE-2026-59726，代號 RufRoot，CVSS 10.0。滿分。受影響的是 ruvnet 的開源 agent meta-harness Ruflo。

未經認證的攻擊者可以做的事情照公報原文列：偷 LLM 供應商的 API key、撈使用者的對話、佈署持久後門，以及汙染 AgentDB 學習儲存區裡的 pattern，用來操縱未來的 AI 輸出。

最後那一項是這條漏洞真正該被記住的地方。前三項是傳統資安的損害：金鑰、資料、駐留。第四項是一種新的東西——攻擊者不需要維持存取，他只要把毒下在模型下次會讀的地方，然後離開。你把後門清掉、把金鑰換掉、把入侵路徑補掉之後，那個被改寫的 pattern 還在，而它產生的錯誤輸出看起來就是模型自己的判斷。

3.16.3 版的修法透露了原本的設計有多寬鬆：把 MCP bridge 綁到 loopback 介面、限制終端執行、啟用 MongoDB 認證。三件事都不是新功能，是本來就該預設開著的東西。

來源：F5 Labs Weekly Threat Bulletin

三、破紀錄的那張帳單，貴在沒人管 agent 的權限

IBM 的 2026 年資料外洩成本報告調查了 602 家遭駭組織。全球平均單次外洩成本升 12%，到 499 萬美元，創紀錄。

有 AI 味道的數字集中在一個地方：五分之一的組織通報了與 AI 相關的資安事件，而這些事件裡有 92% 沒有適當的 AI 存取控制。這個比例高到不像疏忽，比較像是「這件事還沒有人被指派負責」。旁邊那個數字支持這個判讀：只有 40% 的組織會控管誰能存取自家的 AI 模型與資料，主動保護非人類身分（機器帳號、服務帳號、agent 的憑證）的組織不到一半。

最貴的兩種 AI 事件類型是 model inversion（607 萬美元）和 prompt injection（589 萬美元），兩者都高於全體平均。AI 驅動的攻擊增加 56%，平均讓每次外洩多花約 100 萬美元。

反方向的數字也在同一份報告裡：AI 與自動化平均省下 193 萬美元的外洩成本，但只有 18% 的組織把 AI agent 用在漏洞管理上。防守方拿到的是同一套工具，用的人少了三分之二。

有一個數字我覺得最能說明現在的狀態：超過一半的受駭組織打算採購 AI 安全與治理工具，比去年跳升 88%。這是被打過之後才動的錢。前面那個 92%，就是還沒被打的那些人現在的樣子。

來源：Cybersecurity Insiders（IBM 2026 資料外洩成本報告）

四、Claude Code 補掉兩個「指令把自己藏起來」的權限繞過

Claude Code v2.1.223 今天釋出，修補清單裡有兩條同一類型的問題。

第一條：精心構造的指令可以把自己的一部分藏起來，躲過權限檢查。第二條：用 tab 或隱形 Unicode 字元填充的指令，可以在核准對話框裡藏掉一部分內容。

第二條的意思是你按下核准的時候，你以為你同意的是螢幕上那行字。同一版還修掉了 workflow script 用動態 import() 執行 sandbox 之外的程式碼，以及一個權限缺口：agent 定義裡的 bypassPermissions 模式會忽略組織層級停用 bypass 的政策。

上一版 v2.1.222 修的那條同樣值得看：worktree 隔離的 session 與它的子代理，可以對主 checkout 跑破壞性 git 指令。隔離現在對所有 session 類型的檔案編輯與 Bash 一律生效。

這幾條放在一起看是一個提醒。權限對話框是人在這條鏈上唯一的煞車，而這四條修補的共同點都是「煞車在你以為它有效的時候失效了」。真正的教訓不是這一版修好了，是這類問題會持續出現：只要「顯示給人看的內容」和「實際執行的內容」是兩條不同的路徑，它們就會有分岔的機會。

來源：claude-code CHANGELOG

五、企業開始把「這個 prompt 能不能跑」外包給自己的伺服器

Anthropic 8 月 5 日對 Claude Enterprise 組織開了 inference hooks 的 beta。

做法是把 Claude 指向組織自己的 AI 安全伺服器。claude.ai、Cowork、Claude Code 上每一個受管的 prompt，在推論開始之前會先被扣住，等那台伺服器回覆 allow 或 deny。請求帶簽章，失敗時的處理方式可以設定，每一次拒絕都寫進合規用的 Activity Feed。

這個設計的重點在於判定權的位置。過去企業能做的是事後稽核：模型跑完了，你去看 log。inference hooks 把關卡移到推論之前，而且那個關卡跑在客戶自己的機器上，不是供應商的。

代價寫在「失敗處理可設定」那句話裡。這條路上多了一個你自己要維護的單點：它掛掉的時候，你是要放行（那麼這道防線在最需要的時候不存在）還是要擋（那麼你的 AI 服務跟著它一起停）。這個選擇沒有正確答案，只有你願意承擔哪一邊。願意把它接起來的公司，通常是已經算過另一邊的成本了。

來源：Claude Platform release notes

六、記憶體缺貨變成一張具體的損益表：華邦電單季賺 243 億

前兩天寫過記憶體全線缺貨、新產能要等到 2028 年才開。今天有一張帳單可以看那個缺口跑進誰的口袋。

華邦電 8 月 6 日法說會：第二季合併營收 598.43 億元，季增 56.4%、年增 184.7%。毛利率 66.2%，去年同期是 22.7%。營業利益率 48.4%，創單季歷史新高。稅後淨利 243.17 億元，季增 1.4 倍。單季每股盈餘 5.40 元，2026 上半年累計 7.65 元。

拆開來看，記憶體事業單季營收 517.00 億元，毛利率 70.3%，產能利用率滿載。公司表示第三季價格還在漲，營益率有機會突破 50%，並預期 2027 年的供需會比 2026 年更緊，已經提前展開下一階段擴產。製程上從 25nm 轉 16nm，16nm 良率接近 80%，目標年底 90%。全年資本支出計畫約 395 億元，其中生產設備約占 95%。

毛利率從 22.7% 走到 66.2%，一年。這種曲線不是靠經營效率做出來的，是價格做出來的，而價格是缺貨做出來的。同一條曲線在歷史上每次都會往回走，只是沒人說得出來哪一季開始往回。公司自己的動作反而最誠實：它把 95% 的資本支出押在生產設備上，也就是它賭這個缺口還會持續到新產能開出來為止。

來源：時報資訊、TechNews

那你現在該先做哪一件

今天六則裡有五則指向同一個缺口：agent 拿到的權限，沒有一個人的名字掛在上面。

所以先問你自己一個問題：你們的 agent 用的是誰的憑證？如果答案是「一個共用的 service account」或者「跟我的個人 token 一樣」，那 IBM 那個 92% 就是在講你，而且那份報告裡「每小時 1,100 美元」的圍堵成本會從你發現的那一刻開始跳表。

這件事的下行不對稱得很明顯。做對了你什麼都不會感覺到，做錯了你要付的是別人家生產網路的代價，而且照 Hugging Face 這件事的走向，事前沒有任何合約會替你分攤。

先把那組憑證換成專用的、範圍縮到最小、記得下來誰核准的。這一步不需要買任何工具，也不需要等治理框架寫完。至於 inference hooks 那種等判定才放行的架構，那是等你先有名字掛在權限上之後，才輪得到的下一題。