代理存取：重新思考 AI 系統中的信任

三個結構變化讓代理安全更難。首先，交接次數更多。身分與意圖流經一串合作元件，不再只跨越單一服務邊界。其次，LLM 支援的路徑較不確定：類似請求可能選擇不同工具、順序或分支，因此無法只依賴固定的核准圖。

第三，代理的價值正來自它能接近敏感系統並採取行動。它不是被動介面，而是能更新紀錄、檢索文件、呼叫工作流程、觸發營運變更。工具權限一擴大，授權錯誤很快就變成營運錯誤。有能力卻沒有區隔，就是有用的自動化變成系統性風險的起點。

為靜態應用設計的安全控制，通常不是概念錯誤才失效，而是它們預設較少的轉換、行動者，以及權限偏離原意的機會。

第一種是憑證重放。一旦有效權杖出現在太多層，攻擊者就不必突破身分驗證，只需要重用系統已接受的憑證。權杖可能出現在日誌、追蹤資料、連接器快取、模型周邊記憶或防護不足的服務邊界。團隊常低估接觸同一憑證的元件數量，因此重放風險會悄悄擴大。

第二種是提示層外洩。這件事值得直說：LLM 不是存放高權限身分資料的安全保險庫。權杖、機密或工作階段資料一旦對提示或模型可存取的記憶開放，就可能透過惡意指令、遭入侵的中介層或薄弱隔離被擷取。機率式介面不應被當成持久的憑證儲存區。

請為實際環境設計。如果系統採開放式推理，就把憑證移出推理發生的位置，除非你能證明其隔離、範圍與到期機制。

MCP 將工具如何開放給 AI 元件正式規範化，因此不只是方便連線的協定。在成熟架構中，MCP 層是信任轉接點：驗證呼叫元件、檢查委派授權、執行工具專屬控制，並保留誰呼叫了什麼的稽核紀錄。

許多團隊在這裡犯下昂貴錯誤：透過 MCP 集中存取，政策卻很薄弱，以為集中路由自然會改善控制。並不會。只負責轉送的連接器，也可能只是集中風險。有中介、沒執行控制，只會讓薄弱假設在同一處疊加。

請把 MCP 伺服器與類似中介元件當成落實控制的邊界。如果無法驗證呼叫者身分、範圍、接收對象與效期，它們只是在擴大信任邊界，卻沒有真正治理它。

這個策略轉變不只關乎權杖處理，而是重新定義：當軟體跨越半自主鏈條進行規劃、委派與行動時，什麼才算可信執行。最強的標準不是「使用者有沒有通過驗證」，而是鏈中的每個動作是否由正確元件、在適當限制下執行，並留下事後可驗證的證據。

這個標準要求更高，也正因如此才有效。代理越能廣泛存取業務工具，組織就越需要隨複雜度擴充、而不是被複雜度壓垮的信任模型。優先委派存取，而非傳遞憑證，不是微小的實作偏好，而是自主性可否管理、風險會否暗中累積的分水嶺。

若你正在設計代理系統，請把有限權限、可驗證代理身分、短效授權與可稽核交接設為預設。信任不會因憑證傳得有效率而持續；它能持續，是因權限被限制得夠嚴謹，讓智慧系統可以行動，同時仍可治理。