早上滑手機，一則標題寫 AI 代理攻擊台灣的核能安全主管機關，下一則說 AI 九秒刪光一家公司的資料庫。兩則看完，很容易冒出一個念頭：AI 已經管不住了，公司裡的 AI 是不是全部先關掉比較安全。
先別急。這兩則都是真的，但標題和原文之間各差了一截，而差的那一截，剛好決定了你該不該改變自己的做法。
台灣那件，原文寫了什麼
2026 年 8 月 12 日，以色列資安公司 Dream 發表研究，說有人用開源的 AI 代理框架 Hermes 和 OpenClaw，在 7 月 1 日到 4 日對亞洲某國政府發動攻擊。Dream 沒有說是哪一國，是金融時報先點名台灣，The Register 也找到知情人士證實。The Register 的標題是「近乎自主的 AI 代理攻擊台灣的核能安全主管機關」。
標題用的是「攻擊」，讀的人很容易記成「攻破」。往下讀，被攻破的是其他政府系統。原文寫的是：AI 代理先從一個政府入口盤點出 21 個相連的政府系統，其中有系統不用登入就外露整份使用者資料庫；接著用一個不需要登入就能讀的介面撈到員工帳號，再依員工編號猜可預測的密碼，攻進「某個政府部門」的辦公自動化入口，破解 85 個帳號，其中 84 個能登入那個部門的內部系統。帶走的有超過 2,500 筆人事資料，還有 7 組單一登入的應用程式密鑰和 6 組內部資料庫帳密。這些系統和部門都沒有具名。
核能安全主管機關出現在後段。原文說攻擊「延伸」到政府的資訊委外廠商、核能安全主管機關、一個政府郵件系統和 7 家以上能源業者，對它們平行掃描錯誤設定、外露的管理介面和可利用的漏洞。原文沒有寫這些單位被入侵成功，也沒有寫資料外洩。
AI 到底做了多少，也有不同說法。「近乎自主」是 Dream 的用詞；CNN 的報導說這是「第一件完全自主的攻擊」，但那是 CNN 引述的專家看法，例如台灣網路資訊中心董事長 Kenny Huang。台灣數位發展部的聲明說，調查發現攻擊來自境外，是駭客結合傳統手法與 AI 代理（例如 OpenClaw）的混合方式。Dream 自己也寫，要讓這種系統真的能用，不只是跑一個模型，還得針對任務細調、調整代理之間怎麼配合。
至於是誰做的：Dream 沒有把這件事歸給中國政府或特定組織，只說作業文件「指向使用中文的操作者」。CNN 寫到，台灣和 Dream 都沒有確認攻擊來源。
| 標題或轉述的說法 | 原文寫的 |
|---|---|
| AI 代理攻擊核能安全主管機關 | 被攻破的是沒具名的政府系統與部門；核能機關是延伸目標，原文只寫掃描 |
| 85 個帳號、2,500 筆資料 | 屬於那個沒具名的部門，不是核能機關 |
| 完全由 AI 自主 | Dream 說近乎自主；數位發展部說是傳統手法加 AI 代理 |
| 中國駭客 | 揭露者沒有歸因給任何政府或組織 |
這是一件真的事件：有受害的單位、有外流的資料，AI 也確實參與。只是「核能機關被 AI 攻破」這個讀法，原文撐不住。
刪光資料庫那件，後來怎麼了
第二則是 2026 年 4 月下旬的事。The Register 報導，汽車業軟體新創 PocketOS 的創辦人說，他們用的 AI 程式代理（Cursor 搭配 Claude Opus 4.6）在測試環境遇到憑證不符，為了「修好」它，在一個不相干的檔案裡找到一把金鑰，一次呼叫就刪掉正式資料庫和備份，「只花了 9 秒」。
標題停在這裡，原文往下還有三件事。那把金鑰原本只是用來管理網域，卻能做任何操作；雲端平台 Railway 把備份和資料存在同一個儲存區；Railway 的執行長在週日晚上出手協助，一小時內把資料救了回來。創辦人也承認，正式環境的金鑰外露是他們這邊的責任。
所以這一則，受害者具名，AI 做了什麼有當事人自己的說法，但損害後來救回來了，出事的原因也不只 AI 一個。
三個燈，看完再決定要不要慌
看到一則 AI 出事的新聞
│
燈一：受害者有沒有具名？損害有沒有數字？
│
燈二：AI 做了什麼，是誰說的？
│
燈三：這是事件、漏洞、研究，還是政策？
│
├ 三燈都綠 ─→ 拿去對照自己的做法
└ 有黃有紅 ─→ 引用時寫清楚是誰說的
燈號的意思是「這個說法能不能當成已經發生的事實來引用」。
| 燈號 | 綠：可以當事實引用 | 黃：要寫「據某某說」 | 紅：不能當成已發生 |
|---|---|---|---|
| 一、受害者 | 具名，損害有數字 | 有人受害但沒具名，或數字只有一方說法 | 沒有受害者，或原文只寫延伸、掃描、可能 |
| 二、AI 參與 | 當事人、受害方或主管機關說明 AI 做了什麼 | 只有資安公司或專家的說法 | 只有標題或轉述，找不到原文 |
| 三、類型 | 事件：已經有人受害 | 漏洞：找到了，還沒報導被利用 | 研究或政策：示範、評測、法規 |
作者整理，非官方。
拿這張表套幾則新聞：
| 新聞裡的說法 | 燈一 | 燈二 | 燈三 |
|---|---|---|---|
| 台灣政府系統被 AI 代理攻破 | 黃：系統與部門都沒具名 | 黃：Dream 說近乎自主，官方說混合 | 綠：事件 |
| 台灣核能安全主管機關被攻破 | 紅：原文只寫掃描 | 黃 | 這個說法本身不成立 |
| PocketOS 資料庫被 AI 刪掉 | 綠：具名，已救回 | 綠：創辦人自述 | 綠：事件 |
| 西班牙第一件 AI 代理攻擊的個資外洩 | 黃：組織和模型都沒具名 | 黃：來自受害組織的通報 | 綠：事件，但要加「據稱」 |
作者整理，非官方。
最後一列是西班牙資料保護局在 2026 年 9 月 14 日公布的：它收到第一件據稱由 AI 代理執行攻擊的個資外洩通報，代理登入後自己找應用程式的漏洞，得以修改個資、存取發票。資料保護局寫明，這些資訊來自受害組織的通報，還要再分析，也不代表那個模型的供應商被入侵。這種一手來源自己先把話說保守的，引用時照它的保守程度寫就好。
三燈之後，你要做的事
三燈都綠的，像 PocketOS，就拿它的結構對照自己：你們的金鑰是不是也放在專案檔裡、權限是不是比任務需要的大、備份是不是跟正式資料放在同一個地方。這一類最值得花時間，因為原因寫得清楚，你知道要查什麼。
燈二是黃的，像台灣那件，對內報告時寫清楚是誰說的：「Dream 的研究說」「數位發展部說」，不要寫成「AI 自己攻進去」。燈一有紅的，那個說法就不要轉傳。燈三是研究或政策的，排進下一次檢討就好，不用今天就關掉什麼。
本文非法律意見，也不是資安事件的鑑識結論；事件細節以各來源原文為準。
動手做
看到下一則 AI 出事的新聞，把標題和原文連結一起貼給 AI，請它替你亮燈：
以下是一則新聞的標題和原文連結（或全文）： 標題：（貼上） 原文：（貼上連結或全文） 請只根據原文回答，不要用你自己的知識補充，回答三個燈號： 燈一：受害者有沒有具名？損害有沒有具體數字？哪些單位原文只寫「延伸、掃描、可能」，沒有寫被入侵？ 燈二：AI 做了什麼，是誰說的（受害方、主管機關、資安公司、專家、記者）？官方說法和揭露者說法有沒有不同？ 燈三：這是已經有人受害的事件、還沒報導被利用的漏洞、研究示範，還是政策法規？ 每一點都附上原文裡的一句話當依據；原文沒寫的，寫「原文沒寫」。 最後列一張「標題說的／原文寫的」對照表，標出標題比原文多說了什麼。
數位發展部那句「結合傳統手法與 AI 代理的混合方式」，CNN 的報導裡有英文原文。之後要跟別人轉述台灣這件事，用那一句會比用標題穩。
站內延伸
- 研究示範和真實攻擊的差別，三個案例 → AI 被騙的三種方式
- 輪到自己出事時，要拿得出紀錄 → 出事那天，你拿得出什麼紀錄
- 金鑰和權限怎麼給到剛好 → 找方法AI Agent 權限最小化
來源： The Register：'Near-autonomous' AI agents attack Taiwan's nuclear safety agency（2026-08-12；Dream 研究、攻擊期間 7 月 1 日至 4 日、金融時報先點名台灣、21 個相連政府系統、85 個帳號與 84 個成功登入、7 組 SSO 應用程式密鑰與 6 組資料庫帳密、超過 2,500 筆人事資料、延伸目標只寫平行掃描、未歸因中國政府）；CyberScoop：Researchers observe first 'near-autonomous' AI attack on government target in Taiwan（2026-08-12；Dream 說這種系統需要針對任務細調）；CNN：Hackers used autonomous AI agents to attack Taiwan（2026-08-13；數位發展部聲明、「完全自主」是專家看法、台灣與 Dream 都未確認來源）；The Register：Cursor-Opus agent snuffs out startup's production database（2026-04-27；9 秒、金鑰權限過大、備份在同一儲存區、一小時內救回、創辦人承認金鑰外露的責任）；西班牙資料保護局 AEPD 部落格（2026-09-14；第一件據稱由 AI 代理執行的個資外洩通報、資訊待分析）。燈號表與套用表為作者整理。