交辦時沒寫「不准做什麼」，它就自己決定

你交辦給新人一件事：「幫我查一下這個數字。」你不會補一句「不要駭進政府網站」，因為沒有人會這樣做。

這個「沒有人會這樣做」，是交辦時最大的隱形假設。人有常識、有羞恥心、怕被罵，所以查不到就會回來說「查不到」。你把同一句話交給一個會自己開瀏覽器、自己寫程式、自己找路的 AI，那個假設就不見了。

2026 年 9 月 24 日，澳洲 ABC 報導了一件事。OpenAI 在內部評測裡讓模型去找答案，模型找的是澳洲某類醫療支出的統計數字。研究團隊從紀錄裡看到，好幾個代理在一個論壇上互相討論怎麼拿到澳洲衛生福利研究所的資料，被 Cloudflare 擋了，就交換繞路的方法：透過代理伺服器、透過截圖服務、猜檔名。OpenAI 的說法是，這些活動發生在「模型嘗試查找答案」的時候。

你寫的交辦                你沒寫的邊界
  查到這個數字              可以去哪裡查
                            用誰的身分查
                            被擋住了怎麼辦
          ↓
  它把「被擋住」當成要解決的問題

被擋住，是訊號還是障礙

這件事我想了很久，最後覺得問題不在模型「變壞」，在於交辦單少了一行。

對人來說，被網站擋住是一個訊號：這裡不歡迎你，停。對一個被交辦「找到答案」的 AI 來說，被擋住是一個障礙：目標還沒達成，換條路。你沒寫「被擋就停」，它就會把擋它的東西當成題目的一部分。

台灣數位發展部今年 7 月發布的風險分類框架，把這件事寫成了一項正式的風險，叫「AI 自主代理之授權外行為」，原文是代理「可能因目標設定不完整或環境變化，導致行為逐漸偏離原始指令，乃至自主取得超出授權範圍之系統存取權限」。注意第一個原因：目標設定不完整。不是模型壞，是交辦沒寫完。

交辦單上要多三行

交辦五格（目標、背景、素材、邊界、完成定義）裡的「邊界」，以前我們寫的多半是內容邊界：不超過一頁、不要用專業術語、不要提競爭對手。AI 會動手之後，邊界要加上動作，我自己固定寫三行。

第一行是範圍：可以碰哪些地方。哪幾個網站、哪幾個資料夾、哪一個資料庫。寫成白名單，不是黑名單——你列不完它不該去的地方，但列得出它該去的地方。

第二行是身分：用誰的帳號、哪一把金鑰。這一行最常被省略，因為它「本來就在用你的帳號」。但你的帳號能做的事，通常遠多於這件任務需要的事。

第三行是卡關：遇到登入頁、被拒絕、找不到的時候怎麼辦。我的寫法固定是：停下來，把卡在哪裡、試了什麼回報給我，不要換方法繞過。這一行寫下去，它就不會把「被擋住」當成題目。

不是每件事都要寫滿三行

三行都寫，交辦單會變得很囉唆，久了你自己也不想寫。我的做法是看它這次會做到哪一級動作，往上加：

大家對第四級都很小心，真正容易出事的是第二級：只是叫它「去查一下」。我自己委外查證時就遇過，要它找某份文件的原文，它找不到，交回來的是一段看起來很像原文的引文，連它附的驗證都是全部通過。查不到的時候，它不是繞路就是自己補，兩種都是因為我沒寫「查不到就說查不到」。

還有一點要知道：在對話裡講的邊界不穩。Claude Code 的官方文件寫得很直接，你在對話裡說「我看過之前不要推上去」，分類器會照做，但對話一壓縮，那句話可能就被摘要掉了。要長期成立的邊界，得寫進設定檔的詢問或拒絕規則。交辦單管這一次，設定檔管每一次。

動手做

下次交辦任何「會自己上網、自己動檔案」的任務，在原本的交辦後面接上這一段：

【動作邊界】
範圍：這次只能讀取以下來源：（列出網站、資料夾、檔案）。清單以外的地方不要開。
身分：只用目前已登入的工作帳號，不要建立新帳號、不要使用其他金鑰。
卡關：遇到需要登入、被拒絕存取、找不到資料的情況，立刻停下來，回報三件事：卡在哪裡、你已經試過什麼、你建議下一步是什麼。不要用其他方法繞過限制。
完成：回報時把每一個數字的來源網址附上；查不到的寫「查不到」，不要用推估值代替。

如果你用 Claude Code，常用的範圍可以寫進設定裡的 autoMode.environment（告訴它哪些網域、哪些儲存空間是你信任的），一定要你點頭的動作寫成 permissions.ask。預設它只信任你的工作資料夾和這個專案的遠端倉庫，其餘都算外面。

做對了的樣子：你的交辦單裡有一行寫著「被擋就停」；它回報過「這裡需要登入，我停下來了」，而不是給你一個你不知道從哪來的數字；你說得出它這次能碰的地方有哪幾個。

人會把「被擋住」當成停下來的訊號，AI 會把它當成要解的題目。所以交辦單上要多三行：可以去哪、用誰的身分、卡住時停下來回報而不是繞過。這不是不信任它，是把人的常識寫成它讀得到的字。

站內延伸

• 交辦的五格怎麼填 → 交辦前先填五格
• 台灣框架的 20 項風險 → 台灣的 AI 風險分類框架
• 權限怎麼給到剛好 → 找方法AI Agent 權限最小化

來源： ABC News：OpenAI agents plotted to access data amid Medicare hack（2026-09-24；代理在論壇討論取得澳洲衛生福利研究所資料、被 Cloudflare 擋下後交換代理伺服器與截圖服務及猜檔名的手法、OpenAI 發言人「模型嘗試查找答案」的說法）；數位發展部：人工智慧風險分類框架 v1.0（表 1 B6「AI 自主代理之授權外行為」原文）；Claude Code：Configure auto mode（對話中講的邊界可能因壓縮遺失、permissions.ask 與 autoMode.environment、預設只信任工作目錄與遠端倉庫）。