AI 資安怎麼學：攻擊、防護與調查的實作路線
從同一套客服助理出發，學 AI 如何協助找漏洞、AI 系統如何守住資料與工具權限，以及如何用 AI 調查、修補。每條路線都交出可重現的證據。
24 篇文章
AI 資安實戰
共用資料流、身分與證據基礎，分成 AI 輔助攻擊、保護 AI 系統、AI 輔助調查與修補三條路線，最後以可重現的攻防演練會合。實作涵蓋靶場、自架雲端與明確授權的系統。
系列導讀
登入之後，誰能讀哪份資料：AI 助理的身分與授權
後端從可信認證取得操作身分，再依資源與動作判斷權限。用同租戶且本人擁有的工單政策，驗證允許、跨租戶與同租戶越權。
AI 說有漏洞，你要拿出什麼證據？
把 AI 的建議當成待驗假說。保留實際輸入與回覆，核對目標資料和授權政策，再用正常與修補對照排除假陽性。
選你的 AI 資安練習環境：本機、雲端、CTF 與授權目標
想查程式判斷就用可重設的副本，想查部署邊界就保留雲端條件，想驗真實系統就對齊專案範圍。換環境時保留問題與判準，重新記錄改變的條件。
AI 如何讀懂目標與整理攻擊面
把工單服務的文件與 HTTP 觀察整理成有來源的攻擊面，區分已確認功能、權限假設與下一個最小測試。
讓 AI 找漏洞：從線索到測試假設
用同租戶與跨租戶讀取案例，把 AI 的可疑判斷改寫成能確認、推翻與保留未決的漏洞假設。
AI 產生利用測試，怎麼確認真的成功？
對真正 HTTP 工單服務重播利用請求，比對修補前後、正確資源內容與正常使用者，排除只靠狀態碼的假成功。
AI 如何攻擊另一個 AI：間接注入與工具誤用
拆解惡意附件如何變成錯誤工具請求，對照真實 LLM 訓練平台與固定動作重播，分開驗證模型偏移與資料外洩。
把工具接成攻擊 Agent：計畫、執行與回饋
用有步數、目標與逾時限制的 HTTP 測試迴圈，理解規劃器、執行器與驗證器如何交接，以及何時停止。
AI 能串起攻擊鏈嗎？從 CTF 到公開事件
重播工單攻擊鏈，再讀 Anthropic 公開事件報告，分清每一步的證據、人類決策、評測捷徑與供應商觀測限制。
Prompt Injection 的防線要放在哪裡？
把同一筆惡意工具提案交給不同執行路徑，分開檢查模型被帶偏與未授權副作用；提示標記、資料權限與動作批准各有不同工作。
RAG 答對了，也可能洩漏別人的資料
每次檢索都帶可信使用者權限，在資料進入模型前過濾；快取命中與撤權後也要重新驗證資料依賴。
工具能呼叫，不代表這次動作有權執行
用一次工單匯出綁定使用者、資源、動作、目的地與批准，並測試參數替換、撤權、過期與重播。
MCP 的信任鏈：你到底信任了什麼？
分開驗證工具來源、完整定義、權杖受眾與下游動作；雜湊能發現描述變動，無法證明遠端程式維持相同行為。
模型輸出如何變成 XSS、命令與資料外傳？
先確認誰解讀模型輸出，再按 HTML、URL 與操作參數各自處理；JSON 合法、文字轉義與資源授權不能互相取代。
Agent 的沙盒、憑證與網路邊界
用作業系統限制實測合成檔案與網路，再獨立檢查短效、限資源的授權；程式內允許清單不是 OS 沙盒，通訊方式也不會限制程序能力。
如何知道防線有效：紅隊、回歸與運作監控
用獨立權限矩陣重播修補前後的真 HTTP，核對回應與稽核，再將模型評估、執行邊界與正式監控分開報告。
AI Code Review：把可疑程式變成待驗證的發現
先追身分、物件與回傳路徑，再驗證正常和越權案例。審碼評論只提出假說，實際回覆與獨立政策才決定漏洞是否成立。
AI 寫好 Patch，還要驗證什麼？
修補要同時擋住越權、保留正常功能，並在實際目標重跑。告警消失和本機副本通過，各自只能證明其中一部分。
讓 AI 整理事件時間線，別替缺失紀錄編故事
先保留來源與時區，再排序與關聯請求。工具讀到一張工單只能證明那次讀取；摘要、缺失日誌與修補後拒絕，都不能替代原始證據。
AI 說是誤報，能直接關掉嗎？
先固定告警在偵測什麼，再區分誤報、已擋住的攻擊和證據不足。讓助手提出帶事件依據的分流建議，關單需要符合事先定義的條件。
讓資安助手接上工具：從唯讀調查到處置
調查權限不應自動包含處置權。讓可信執行端核對角色、事件、精確提案與當前狀態，再執行並留下可回查結果。
怎麼證明 AI 真的幫上資安工作？
固定獨立真值，先算誤報、漏報及未判定，再量人工時間與操作風險。快速結案不會自動證明結案正確，規則重播也不能當成模型成效。
AI 資安整合演練：從攻擊證據走到修補與回歸
用同一組 HTTP 請求比較有洞版與修補版，保存工單讀取證據、稽核事件與時間線。越權讀取要被擋住，正常使用者也要繼續讀得到自己的資料。