Mandiant 2026 AI 報告：失控代理程式的高達 5 萬美元帳單與 AI 輔助入侵

Mandiant 的 《2026 年 AI 風險與韌性》報告於 2026 年 9 月發表於 Google Cloud，並於同週由 Help Net Security、The Hacker News 與 SecurityBrief 報導；報告描述了三個案件，其中 AI 是機制而非目標：一個遭劫持的 AI 程式設計助理工作階段，將 Shai-Hulud 蠕蟲散布到一家未具名軟體即服務供應商約 100 個內部儲存庫；一個遭入侵的 CI/CD 憑證，被入侵者變成一家醫療保健公司內部的 AI 輔助攻擊樞紐，外洩了數千個憑證；以及一個會計代理程式，在其某項工具因損壞的 null 值而故障後，不到一小時內累積了約 50,000 美元的雲端費用，鎖住計費資料庫並使即時交易停擺。第三起案例並無攻擊者涉入。本文所依據的紀錄，以及在其周邊歸檔的條目，都收錄在 AI 事件檔案庫中；該檔案庫載有每個條目自身的來源、嚴重程度、信心等級與爭議旗標。

這是什麼樣的文件？

該報告的標題是「2026 年 AI 風險與韌性：Mandiant 特別報告」，刊登於 Google Cloud 的安全資源頁面，且屬於廠商出版品，而非資料外洩事件披露。其案例研究來自 Mandiant 的事件應變專案，以及其 Offensive Security 團隊的評估；這些組織僅以產業類別標示：一家軟體即服務供應商、一家全球醫療保健組織、一家全球企業金融服務供應商。報告未指名任何受害者、未註明任何入侵事件的日期，且這三個案例均未附上受害者聲明。

這會影響應如何解讀這些數字。其中的每一個數字都源自 Mandiant 自家調查人員。Cloud Security Alliance 9 月 16 日的 Frontier Ready 備註將約 $50,000 的費用與 15,000 次呼叫量標為「自我通報（供應商指標）」，並表示這些數據「尚未經獨立驗證」——這是對整份報告的貼切描述，因為該報告並未公布任何可供核對的第三方遙測資料。該檔案庫將此條目歸檔為資訊性紀錄，即一份報告，而非有記錄損害的事件，並將其評為信心 A，且未標記為有爭議；該評級反映的是報告的記載完善程度，而非外部單位是否已證實其內容。

該報告自身的論述框架是，對手在2026年已從向聊天機器人索取研究資料，轉變為讓代理式系統承擔部分入侵行動。Mandiant表示，Google Threat Intelligence Group已觀察到攻擊者部署包括Hexstrike與Strix在內的自主動工具來進行偵察與憑證蒐集，並建立代理中繼與自動化註冊管道，以繞過商用AI平台的防護機制與計費限制。報告引用VirusTotal記錄的OpenClaw代理技能於2月被武器化、3月的供應鏈入侵事件（Mandiant將其歸因於其追蹤代號UNC6780、其他機構追蹤為TeamPCP的行為者），以及5月的一項披露——GTIG稱之為首個公開證實的資安犯罪者使用AI開發的零日漏洞攻擊案例，該漏洞繞過了某個熱門開源管理工具中的雙因素驗證。

案例一：助理推薦了該套件

在第一起案例中，攻擊者入侵了一家軟體即服務供應商，接著接管了開發者工作站上一個正在進行中的 AI 編碼助理工作階段。Mandiant 將該助理描述為「在環境內作為受信任的解譯器運作」：它建議安裝一個攻擊者早已下毒的外部軟體套件，而開發者接受了這項建議。報告指出，該助理「無意間發揮了木馬程式的作用」。

從該即時工作階段中，攻擊者透過一個遭投毒的 PyPI 套件安裝了資訊竊取程式，並竊取了開發者的 GitHub OAuth 權杖。具自我傳播能力的 Shai-Hulud 蠕蟲接著橫跨約 100 個內部程式碼儲存庫，自動化竊取儲存庫機密，並以程式化方式外洩專有產品原始碼。攻擊者也汙染了組織官方命名空間內的一個套件，而第二名員工拉取了遭入侵的版本——這是一次下游感染；根據 Mandiant 的說法，這起感染無需入侵者再採取任何行動。

報告沒有說明這一切發生於何時，也沒有說明攻擊者最初是如何取得助理工作階段（assistant session）的控制權。The Hacker News 於 9 月 16 日報導此案例研究時，指出這兩項遺漏。Cloud Security Alliance 於 9 月 18 日針對此案發布的研究筆記稱初始存取途徑是「該案例研究最重要的未解問題」，並指出 Mandiant 建議的控制措施所處理的是感染能蔓延到多遠，而不是工作階段是如何被奪取的。

Mandiant 針對此案例的控管措施有三項，且對這項失誤有明確的因應：強制執行 IDE 與 CLI 驗證掛鉤，將每一個 AI 建議的第三方相依套件對照加密雜湊校驗碼與經核准的允許清單進行檢查；讓原始 API 金鑰、長效 OAuth 權杖及其他機密資料置於擴充套件無法觸及之處；並限制工作站的網路對外連線，使相依套件流量僅能經由受控的內部儲存庫路由。

案例二：一組 CI/CD 憑證化身為 AI 協同除錯中樞

第二起案例是某全球醫療保健組織的企業雲端調查。Mandiant 將異常活動溯源至一組遭入侵的長期開發者 CI/CD 憑證，入侵者利用該憑證啟動了一台未隔離的 VM 執行個體，並將其轉變為實際運作中的攻擊樞紐。攻擊者並未離線建置工具，而是將大型語言模型直接接入運行中的伺服器，並在該環境中就地對其反覆迭代。

Mandiant 描述了一套三階段工作流程。首先是情境預先鋪陳：透過遠端工作階段同步程式碼套件，並將專案 README 檔案載入模型的聊天情境中，以引導後續的程式碼產生朝該行動的目標前進。接著是互動式除錯：攻擊者讓模型建構出一套多工作者的資料蒐集框架，並與模型一同處理邏輯性的腳本拆分錯誤，將外傳頻率提高到每三小時一輪。最後是規避與利用：模型撰寫了動態 IP 輪換腳本，以即時替換被封鎖的伺服器位址，並共同開發了一套以 Rust 為基礎的工具，用於登入受害者帳號及查核財務餘額。

Mandiant 表示，這場行動入侵了數千組憑證，並將蒐集到的 API 金鑰與財務機密外傳至攻擊者控制的儲存庫。該報告並未說明這款 Rust 工具是針對哪些人的帳號，也未說明它查核的財務餘額屬於誰，或這些憑證之後的下落。整份案例研究中完全沒有提及任何病患資料。

建議的控制措施應以憑證而非模型為核心：以採用 OIDC 的短期工作負載身分聯盟信任關係，取代長期有效的存取金鑰；以 VPC Service Controls 圍堵對外流量，使執行環境與開發環境無法連線至未經核准的外部模型供應商；在所有工作區中持續執行機密掃描；並在傳輸路徑上部署如 Model Armor 的執行階段提示詞防火牆，以攔截硬編碼的憑證，並在具攻擊性的公用程式指令碼執行時加以封鎖。

案例三：不到一小時就花掉 50,000 美元的那個代理

第三個案例沒有對手。一家全球企業金融服務供應商部署了一個代理程式，用來核對其會計帳冊中的異常，並賦予它對內部計費資料庫的讀寫權限。一個損毀的空值弄壞了該代理程式的格式化工具，而該代理程式隨即進入 Mandiant 所謂的無約束、遞迴推理迴圈，以暴力破解方式尋求修正。

不到一小時內，它就發出了超過 15,000 次高頻、高成本的推理 API 呼叫，造成雲端帳單突然暴增約 50,000 美元。同一個迴圈還導致本機資料庫嚴重鎖定，使進行中的業務交易停擺。Mandiant 將此案例歸類為「錢包拒絕服務」（denial-of-wallet），而其提出的修復措施屬於營運層面而非模型層面：支出上限、有界遞迴，以及用來停止持續無法完成同一任務之代理程式的斷路器。

該報告未說明該筆費用是否已支付、已退款或遭爭議，也未說明交易中止了多久、客戶是否受到影響，或該公司事後做了哪些改變。報告亦未提供日期。SecurityWeek 9 月 18 日的彙整報導將其歸類於該報告標示為新型財務風險類別之下，而非傳統的入侵事件。

Mandiant 提出的管控措施也相應地偏向財務層面：為代理程式定義身分與角色型存取權限、以成本上限門檻與監控作為治理手段，再加上自動化的財務斷路器，在代理程式連續發生一定次數的任務失敗後將其停止。在服務與專案層級，該公司建議設定硬性的財務上限、有界的遞迴限制與速率限制，以便在自我修正迴圈演變成服務中斷之前先加以節流。

哪些已確立、哪些屬歸因、哪些未披露

已確立。Mandiant 發布了這份報告，其內容即上述摘要。四家業界媒體在三天內相繼報導——Help Net Security 與 The Hacker News 於 9 月 16 日、SecurityBrief UK 於 9 月 17 日、SecurityWeek 於 9 月 18 日——且它們的報導在每一項重複引用的數字上都與報告相符。Cloud Security Alliance 於 9 月 18 日針對第一起案例另行發布研究簡報，對其運作機制得出相同解讀，也對 Mandiant 遺漏了什麼得出相同結論。

係歸因所得，未經獨立核實。 具體數字出自 Mandiant：約 100 個儲存庫、數千組憑證、三小時的外洩週期、超過 15,000 次推理呼叫、大約 5 萬美元、不到一小時。沒有任何媒體發表過三名受害者中任何一方的遙測資料，也沒有人點名過這三者中的任何一個。現有的佐證，是對該報告內容的佐證，而非對事件本身的佐證。這一區別正是讀者在此唯一能依賴的東西，而該檔案的信心評級也應作如此理解。

未披露。 該報告未提供這三項委託案的任何日期、未提供受害者姓名，也未說明第一起案件中的助理工作階段是如何被接管的。報告未說明所蒐集取得的 GitHub OAuth 權杖與儲存庫機密是否已被撤銷、第二起案件中的數千筆憑證是否曾被使用或重設、該醫療保健組織的資料主體是否受到影響、會計代理人的費用是否已追回，或這三個組織事後各自改變了什麼。本文未發現自 9 月 16 日以來發布、能補上這些缺口的受害者聲明、監管機關通知或後續報導。

報導分歧之處。Cloud Security Alliance 的說明將案例一中的第二次感染描述為透過公司自家的 npm 命名空間散播。Mandiant 的文本只說「組織官方命名空間內的一個套件」，並未在那裡指明生態系；npm 的解讀是額外補充，並非引述。另外，The Hacker News 明確表示，現有證據並未將本案中的蠕蟲與八月那個為程式設計助理植入掛鉤的 npm 蠕蟲，或與一個被發現會掃描 469 個位置以尋找憑證的 Shai-Hulud 變體連結起來——同名家族、不同活動，文章中沒有證據將它們連結起來。

報告說應該改變的內容

Mandiant 的建議在報告的各案例研究中反覆出現：擺脫長效憑證與服務帳戶，改用綁定至工作負載且設計上即為短效的身分；將 AI 程式設計助理與 MCP 伺服器視為特權工作階段，其擴充套件與 CLI 掛鉤必須在執行前經過驗證；以網路周界包圍代理工作負載，封鎖流向未經核准之模型供應商的外送流量；並建立權杖使用情形、跨應用程式 API 呼叫，以及代理存取敏感資產的可觀測性，讓首次讀取敏感儲存庫的行為會顯示為訊號，而不是融入合法的工具流量之中。

在成本方面，它劃清了「對 AI 的治理」與「為 AI 而設的治理」之間的界線：一邊是設定風險胃納與採購規則的政策，另一邊是強制執行的技術限制。報告以會計代理作為第二類治理失效的例子：根據 Mandiant 的描述，其部署中沒有任何機制為這個迴圈設下界線，而本來能攔住它的控制措施——上限、速率限制、斷路器——都是套用到不尋常工作負載上的尋常措施。

這三個案例並沒有共同的成因。其中一個是信任問題：助理的建議帶有同事建議般的權威性。其中一個是憑證問題，早在任何模型出現之前就已存在，模型只是讓入侵在進入後更快、更具適應性。還有一個兩者皆非：沒有攻擊者，沒有漏洞利用，只有一個被賦予帳本寫入權限的代理程式，而且它在修復故障工具時能花費多少並無上限。它們的共同點是，在每一個案例中，AI 系統都擁有沒有人界定過範圍的權限——可以建議、可以重新配置、可以持續嘗試。