為什麼這個領域重要

當代理開始代替人直接呼叫工具，一個全新的攻擊面便打開了。聊天機器人只吐文字時，最壞的結果不過是答錯。可一旦代理查詢資料庫、發起API、刪除檔案，一行惡意指令就會被直接翻譯成真實的動作。2026年，三菱UFJ銀行(MUFG)向約3.5萬名員工分階段部署ChatGPT Enterprise，宣布自己成為「AI原生」企業，OpenAI的Codex則突破了每週300萬活躍使用者。當代理連受監管的金融業務都開始進入時，就需要有人在執行期守護執行本身。

問題的規模由數字說明。提示注入在2026年仍是OWASP LLM漏洞的頭號，出現在73%的生產AI部署中。OWASP Agentic Top 10列出的前三大風險是提示注入與越獄、記憶投毒，以及工具或外掛誤用，而傳統安全工具對其中任何一項都難以有效捕捉。隨著MCP(Model Context Protocol)擴散，出現了一種新攻擊：惡意的MCP伺服器把注入酬載藏在工具描述(tool description)裡，由於工具描述通常被當作可信內容，酬載會直接繞過內容過濾。AI代理安全專家正是站在這個位置，在執行期強制規定代理能做什麼、絕不能做什麼。

所需技能

核心有四點。第一，執行期能力範圍化。給每個代理一個專屬身分，用狹窄的工具允許清單(allowlist)與任務結束即失效的限時憑證，把權限切得很細。出發點很簡單：代理無法誤用它根本不知道存在的工具。第二，MCP工具權限強化。校驗你連接的MCP伺服器與工具描述，把工具回應與中繼資料置於信任邊界之外，讓注入字串永遠無法被提升為執行指令。

第三，切斷從提示注入通往工具誤用的鏈條。注入不是某個模型的缺陷，它利用的是脈絡視窗缺少權限層這個結構性空白，因此GPT、Claude、Gemini同樣暴露。防禦必須落在基礎設施層：代理伺服器、邊界標籤、執行期護盾、最小權限。第四，代理執行沙箱化。用Firecracker或E2B這類微型虛擬機、gVisor，以及工作區隔離的Docker沙箱，讓來賓核心的漏洞永遠搆不到主機，並隔離程式碼執行與網路存取。軟實力方面，攻擊者思維與威脅建模具決定性。你得在設計階段就在腦中沿著代理的工具呼叫路徑先把它攻破一遍。

職業路徑

多數人從AI安全分析師或初級安全工程師起步，再轉向AI代理安全工程師。資深階段通向對整個代理執行環境威脅模型負責的Staff級AI安全工程師，主管階段則帶領代理安全團隊。需求寫在硬數字裡。2026年代理AI的招募職缺年增280%，AI安全工程師的總薪酬從初級約15萬美元，到Staff與Principal級的70萬美元以上不等。專注代理安全的人才，比只做LLM應用安全的招募高出20到30%的溢價。

在台灣市場，台積電（TSMC）等大廠導入內部代理系統時，對能把工具權限管控與沙箱化落成執行期防護的資安人才需求殷切；金融控股與電商同樣因監管而把這份能力列為把代理投入實務的條件。放眼海外，FAANG級巨頭正快速組建內部的代理執行安全團隊，OpenAI常設「Security Engineer, Agent Security」這類職缺，Anthropic等大型實驗室也在積極招募同一層的人。代理握有的權限越多，守護這份執行的座位就空得越快。