中小企業 AI agent 部署資安完整指南：1M 暴露 AI 服務、PraisonAI CVE 3 小時 44 分被攻擊事件復盤，60 天止血行動清單

3 小時 44 分。

這是 PraisonAI 漏洞 CVE 公告之後，第一波自動化掃描攻擊出現在公開網路上的時間差。The Hacker News 5/29 的報導引用一份對全網 AI 服務的掃描調查，一口氣盤點出將近一百萬個曝險在公開網路上的 AI 端點：MCP server、RAG endpoint、vLLM、Ollama port，全部都在外面裸奔。把這個跟過去傳統軟體漏洞的「公告 → 攻擊」平均時間（通常以天為單位）擺在一起看，AI 部署的攻擊面已經成熟到「自動化武器化」的階段了。

這對台灣中小企業老闆來說是直接的問題。過去一年，很多公司開始自己架 RAG 系統、跑 Ollama 在內網、把 MCP server 接進 Claude Desktop，多半是工程師自己摸索著做，沒有正式的網路架構評估，也沒有 API key rotation 流程。這些系統一旦把 port 開外網（很多時候只是為了「方便手機也能用」），就成了被掃描的目標。

這篇文章談的是「AI 部署層的網路暴露面」：MCP server、RAG endpoint、vLLM、Ollama 的對外曝險，以及 API key 沒換、prompt injection、AI agent 工具串接權限這些設定錯配導致的具體破口。如果你想看的是「公司資安整體 60 天行動」可以參考 AI 駭客時代的中小企業資安行動清單；如果關心的是「員工偷接 AI agent 越權存取資料」這類影子 AI 治理問題，可以讀 AI agent 越權存取資料完整防禦指南；想知道找外包寫 AI 程式碼怎麼寫資安條款，Claude Security 公測上線完整解析 那篇講合約紅線。本篇聚焦的是「機器已經部署上線之後，網路那一層怎麼守」。

什麼是 AI 部署暴露面：MCP server、RAG endpoint、vLLM、Ollama 的網路曝險全景

「AI 部署暴露面」這個詞在傳統資安詞庫裡找不到，因為它是 2024 年之後才大規模成形的攻擊面。要理解它，先把過去 30 年的 web 攻擊面拿來對照：當年是 HTTP 80 / 443、SQL Server 1433、SSH 22 這些公開 port；今天則是一堆過去從不曝險的服務，因為「AI agent 要互相連、要被使用者隨時呼叫」這個需求，被工程師打開了門。

Wiz、Trend Micro、Aqua Security 這幾家專做 cloud security 的廠商在 2025 下半年陸續發布過 AI infrastructure 風險報告，Aqua Security 對 MCP / RAG 攻擊面的拆解 給出的歸納很實用，可以分成四大類：模型推理服務、agent 編排服務、向量資料庫與檢索服務、agent 工具呼叫介面。下面這張表把每一類列出實際常見的 product / port、預設曝險強度、攻擊者拿到後最常做什麼：

把這四層擺在一起看就會明白，所謂的「AI 部署資安」其實是個複合面，它跨越了過去資安團隊的三個熟悉領域：網路邊界、應用程式安全、身份與授權。任何一塊有破口，整個 AI 系統就形同裸奔。Wiz 在自己 blog 上有一句話形容得很傳神：Wiz Research「the new attack surface is the new identity surface」，AI 系統的 API key 與工具權限，就是新的攻擊入口。

為什麼 AI 部署比過去任何軟體都暴露

OWASP 在 2026 年初發布的 LLM Top 10 第二版有一個很重要的數字：超過 70% 的 AI 部署事件，根因都出在周邊基礎設施配置錯誤，model 本身的漏洞反而不是主因。OWASP LLM Top 10 v2 把這類問題歸類為 LLM06「敏感資訊洩漏」與 LLM08「過度代理權限」。把這份榜單跟 The Hacker News 那份一百萬曝險端點對照，會發現曝險原因高度集中在三件事：預設無認證、port bind 到 0.0.0.0、預設不開 TLS。

這背後有個結構性原因。傳統 web service（例如 nginx、MySQL）出廠的安全預設值，是被資安事件磨了 20 年才磨出來的；現在這批 AI infrastructure 多半是 2023-2025 兩年內快速崛起的開源專案，作者在意的是 developer experience（開機就能用），不是 production hardening。Ollama 預設 bind 0.0.0.0、Chroma 預設無認證、vLLM 預設不檢查 origin。這些其實是 design choice 而非 bug，目的是讓開發者第一次用就有「好神」的感受。

代價就是當開發者把它從 localhost 搬到生產環境、或順手 port forward 到外網時，「方便」直接變成「裸奔」。Verizon 的 2026 DBIR 報告指出，Verizon Data Breach Investigations Report 2026 與 AI 相關的資料洩漏事件中，68% 在攻擊鏈第一步用的是「公開可達的內部服務」，這就是 AI 部署暴露面的具體形狀。

攻擊者怎麼掃、怎麼利用：PraisonAI 3 小時 44 分事件完整時間軸

這段直接拆 5/29 The Hacker News 引用的那個 PraisonAI 事件。理解攻擊者的節奏，才知道防守要快到什麼程度。

時間軸還原

這個節奏對中小企業有兩個直接含義。第一，「等下次 maintenance window 再更新」這套傳統 IT 流程在 AI 部署上完全行不通，攻擊者沒有給你 72 小時。第二，公司裡如果沒有人 24x7 盯 CVE 公告，能補上的最低底線是「自己跑的 AI 服務全部記錄在一張表」，讓你下次半夜被叫醒時知道要去哪台機器更新。

攻擊鏈的五個典型階段

拿掉細節，AI 部署被打的整個攻擊鏈幾乎都是這五步：

• Recon（偵察）：用 Shodan / Censys / FOFA 搜尋特定指紋。例：搜 `port:11434 product:Ollama` 一秒鐘出全球 ~12 萬台未授權 Ollama；搜 `title:"vLLM"` 拉出生產推理伺服器。
• Weaponize（武器化）：CVE 公告之後 3-6 小時，PoC payload 會被打包成 Metasploit module 或獨立 Python script，丟上 GitHub / 暗網。
• Deliver（投遞）：自動化掃描器直接群打，payload 觸發到一台機器就回 callback。完全不挑目標，是濫殺式。
• Exploit & Lateral（執行 + 橫向移動）：拿到 RCE 之後，第一步通常是 `cat .env` 把 OpenAI / Anthropic / GitHub API key 拿走；第二步是用這些 key 去打你的 SaaS。
• Exfiltrate / Persist（外洩 + 駐留）：從向量資料庫拉走整個 RAG 索引（裡面藏著你員工 onboarding 文件、客戶資料）；丟一個 cron job 維持立足點。

這個鏈條最危險的地方是「第四步取 API key」。很多公司想到資安就想到「服務被打掛」，但實際上對手不會打掛你的服務，他們會偷你的 OpenAI / Anthropic API key，然後拿去自己用或轉賣。Lakera 2026 AI Security Report 的數據顯示，被竊取的 LLM API key 在暗網有穩定市場：一把帳上有 $5000 額度的 OpenAI key，平均賣 $50-150 美金，被買走後 12 小時內就會被用到上限。對受害公司來說，等於月底直接收到一張破萬美金的帳單。

自己補 vs 找廠商 vs 雲端 managed：AI 部署資安的三條路成本對照

中小企業面對這個議題，多半第一個反應是「我哪有資源做這個」。先說一個有意思的觀察：光是 OWASP / NIST 的免費 checklist 落實 80%，就能擋掉八成的自動化掃描攻擊。資安實務上是看你願意把預算放在三條路裡哪一條，而非非黑即白的「全做 vs 不做」。

這張表的重點是讓你看清楚每條路的「真實成本」與「真實盲點」，而不是要你直接選最貴的那條。光是承認「我們公司目前盲點在哪」這件事，就已經比 80% 中小企業走得遠了。

怎麼估自己公司現在的曝險

給一個 30 分鐘可以做完的初步盤點。請工程同事打開 terminal 跑這四件事，這不是專業滲透測試，但會讓你對「我們公司現在的曝險面積」有具體的數字感：

• 公司對外 IP 範圍掃描：把所有公司對外 IP 用 nmap 掃一輪常見 AI port（11434、8000、6333、19530、5001、7860）。最簡單的指令：nmap -p 11434,8000,6333,19530,5001,7860 你公司 IP 段。掃到任何「open」就先停手記下來。
• Shodan 帳號自查：註冊免費 Shodan 帳號，搜你公司網域 / IP，看 Shodan 已經看見什麼。免費版每月 50 query。
• API 帳單異常檢查：把過去 6 個月的 OpenAI / Anthropic / Google AI 帳單拉出來，看是否有明顯異常尖峰。任何一個月超出平均 3 倍以上，當天 rotate key。
• 公司 GitHub / GitLab 私有 repo 全文搜尋：搜 `OPENAI_API_KEY=`、`ANTHROPIC_API_KEY=`、`sk-`、`sk-ant-` 這些字串。若搜到的位置是真實 .env 或被 commit 進歷史（而非 `.env.example`），立刻 rotate。

避坑：AI 部署資安最常見的 8 條設定錯配

這段把 Wiz、Aqua、HiddenLayer、Lakera 幾家 AI security 廠商過去一年的事件報告拉出來交叉比對，整理出最常被踩的 8 個錯配。每一條都列出「為什麼出現」與「最低成本修法」，多數修法的工時不超過半天。

這 8 條裡面，1、2、4 三條是「半天能修完、改完當天就大幅降低曝險」的高 ROI 項目。建議把它們列為公司本月行動，把其他 5 條列入 60 天清單。

最容易被忽略的：MCP server 工具串接權限

MCP（Model Context Protocol）這套協定 2024 年下半年才出來，2025 之後被 Claude Desktop、Cursor、Windsurf 廣泛採用，2026 上半年大規模進入企業內部。問題是它的「工具註冊」設計上預設是高信任的：你給 Claude 一個 GitHub MCP server，它就拿到你 GitHub PAT 的全部權限。

這個設計在個人開發環境沒問題，但搬到公司就是大坑。實務上看過最危險的兩種配置：第一種是「給 MCP 一個全公司共用的 admin token」，員工 A 用 Claude 寫 code 結果不小心讓 agent 刪了員工 B 的 branch；第二種是「給 MCP 一個能寫 prod DB 的 token」，agent 出現 prompt injection 或 hallucination 時，可能直接執行 DROP TABLE。

正確做法是每個 MCP server 配對「最小權限 token」：例如 GitHub MCP 只給 PR review 權限、DB MCP 只給 read replica、Slack MCP 只給特定 channel post 權限。MCP 的官方文件其實有寫，但實務上多數團隊跳過。我們先前寫過的 MCP 採購指南 第三、四節有完整的權限劃分對照表，可以照抄。

決策框架：怎麼判斷你公司現在該走哪條路

一張決策樹，問四個問題，幫你定位公司現在最該採取的行動方向。這個框架不取代專業評估，但能讓老闆在 5 分鐘內知道「下一步該叫誰來開會」。

找廠商的三個必問問題

如果你決定找外部廠商做 AI 部署資安顧問，這三個問題在第一次接觸時就要問。問完之後對方的反應，比他們的提案內容更能告訴你真實能力：

• 「你們有 AI infrastructure 的實際 hardening 案例嗎？能舉出非 NDA 範圍的具體 setting 變更嗎？」很多傳統資安廠商會把「web pentest」包裝成「AI 資安服務」，但 MCP / vLLM / Qdrant 這些東西他們沒摸過。能講出具體 setting（例如「Ollama OLLAMA_HOST 環境變數」「Qdrant `service.api_key` 設定路徑」）的，才是真的做過。
• 「離場後你們怎麼確保我們不會三個月後又回到原狀？」一次性顧問最大的問題是「廠商離場、知識也離場」。會給你 runbook、會 train 你的工程師、會留下 monitoring dashboard 的廠商，才是真的在意你的長期狀態。
• 「如果我們公司在你們服務期間出資安事件，你們的角色與責任是什麼？」這題的答案決定你買到的是「諮詢」還是「保障」。願意在合約裡寫清楚事件應變參與度與責任界線的，才是值得長期合作的對象。

60 天止血行動清單：從盤點到驗收一張表跑完

最後一段給可執行的行動表。這份的定位是「中小企業 60 天內最該先做完的事」，而非「最完整的資安計畫」。完整版的合規流程（SOC2、ISO27001）要花一年以上、預算百萬起跳，但「擋住 80% 自動化攻擊」其實只需要這 60 天。

這個 8 週節奏比較適合 IT 與工程加總 3-15 人的中小企業。團隊 ≤ 3 人 → 把週數乘 1.5；團隊 ≥ 30 人或受監管行業 → 8 週只能算前哨戰，後面還要走完整 SOC2 / ISO27001。

把這份清單接到公司流程的兩個動作

跑完 60 天之後，最容易發生的事是「東西修好了，但沒有機制維護」。半年後新工程師上來、新服務上線，又會回到原狀。把這兩件事接進公司流程，能解決 80% 的回退問題：

• 新服務上線 checklist：公司任何新的 AI 服務上線（含個人實驗），都要走過一張 10 行的 checklist：預設 bind 哪裡、有沒有認證、key 怎麼存、log 在哪裡。模版可以從前面 8 條錯配反向設計。
• Monthly AI infra review：每月固定 30 分鐘會議：盤點當月新增的 AI 服務、check 帳單異常、review CVE 公告。會議排在月初固定時段，不要等出事才開。

這兩件事的成本幾乎是零，但能讓 60 天行動的成果延續下去。

常見問題

最後一段：把這篇從文章變成行動

看到這裡，你公司現在大概率落在三種狀況之一：已經自架了一些 AI 服務但沒人盯資安、正準備自架但不知道從哪設計、或還在用雲端 AI 但開始擔心員工帳號的風險。

不論你在哪一種，最有效率的下一步都是把公司現況找個懂的人陪你走一輪，而不是「自己看完更多文章」。我們很樂意 聽你聊聊現況：先幫你盤點公司目前有哪些 AI 服務、哪幾條 checklist 先修最划算、能不能在 60 天內把骨架搭好。這個階段我們陪你想，後面真的要動手再談範圍跟費用。

如果你想自己先讀更多脈絡：

• AI 駭客時代的中小企業資安行動清單：整體資安框架，本篇是它的部署層延伸
• AI agent 越權存取資料完整防禦指南：影子 AI 與身份治理
• Claude Security 公測上線完整解析：外包 AI 開發合約怎麼寫
• MCP 是什麼？老闆採購 AI 系統必懂的 Model Context Protocol 完整解析：MCP 權限設計細節
• Claude Opus 4.8 Dynamic Workflows 完整實戰：動態工作流的採購節奏
• 客製化系統開發服務：系統開發諮詢入口

AI 部署資安真正的目的是讓你能繼續放心用 AI 把生產力推上去，而不是要把公司鎖死。能省到的時間、能挖到的洞察、能放大的服務能量，只要把這層基礎守好，後面整片天空都是你的。