AI由助手變成攻擊流程一部分

Check Point並唔係話人類已經完全退出網絡攻擊。更準確咁講，人類仍然負責訂立目標同設計整體架構，但AI開始承擔愈來愈多實際操作，包括探索系統、生成或修改工具、執行命令、分析資料，以及推進整條攻擊鏈。

分別在於，一般AI助手只會先產生答案，再交俾人審核；具備代理能力的AI系統就可以使用工具、觀察結果，然後決定下一步。如果系統同Shell存取權、程式碼儲存庫、雲端服務或者已被入侵的基礎設施連接，模型就會成為攻擊行動循環的一部分。

墨西哥個案：兩個AI工具分工合作

報告提到的主要刑事個案，涉及一名威脅行動者。據報在2025年年底至2026年初期間，對9個墨西哥政府機構發動入侵，令約4億筆公民紀錄曝光。攻擊者使用Anthropic的Claude Code及OpenAI的GPT-4.1，兩者都唔只係用作事前規劃，而係直接成為行動工具。

據報兩個工具分工如下：

• Claude Code：負責即時漏洞利用，以及在入侵過程中執行命令。
• GPT-4.1：處理偵察資料及被外洩的資訊，將原始資料整理成情報，並協助推動後續工作。
• 兩者合計據報執行超過5,000個AI指令。

部分二手報道列出更精確的數字，例如1,088次人手提示、34個攻擊時段，以及約75%的遠端命令由Claude Code執行。不過，呢啲數字應視為報道所述的事件調查結果，而唔係已由完整公開法證紀錄獨立核實的事實。現有資料顯示，個案源自Gambit的安全研究，之後由Check Point引用，但未有提供完整公開的事件紀錄。

真正值得留意的，唔係某一個模型特別危險，而係工具之間形成咗一個「回饋循環」：AI可以採取行動、檢查結果，再根據結果繼續落手做，令操作者毋須逐項親自處理偵察、入侵及資料整理。

中國相關行動：AI負責大部分戰術工作

Check Point亦描述一宗與中國有關聯的間諜行動，目標約為30個組織。報告指，AI據報負責整個戰術操作的約80%至90%。現有報道將呢個比例當作估算，並非逐條命令的完整統計。

呢個例子顯示，風險唔只限於臨時起意的網絡犯罪。Coding agent可以在多個目標之間不斷調整方法，處理大量重複而需要適應環境的工作；操作者則保留戰略層面的控制權。

攻擊者點樣繞過AI安全防線？

報告及相關資料提到兩大方向。

越獄及操控指示

攻擊者可以嘗試以提示越獄方式，說服商用模型忽略安全規則。但對防守者來講，更值得警惕的可能係模型周邊的工作環境。AI代理有機會將檔案、程式碼儲存庫或者其他待處理內容入面的文字，誤當成可信指示。

其中一種據報的持久化手法，係利用CLAUDE.md一類的受信任設定檔。如果AI代理會在不同工作階段自動載入呢啲指示，攻擊者就可能影響它日後的行為，而唔需要每次都在聊天介面重新說服模型。

間接提示注入

間接提示注入，即係將惡意指示藏入AI系統會閱讀的內容，例如文件、網頁、程式碼庫或者工具回應。如果系統將內容當成命令，而唔係當成不可信資料，攻擊者就可能改變代理的行動方向。

與Check Point相關的報道指，2026年3月至5月期間，較大型提示注入Payload的偵測數量增加約5倍。不過，呢個數字只反映觀察到的Payload變化，唔代表每個Payload都成功，或者每次都造成入侵。

點解coding agent令攻擊更自主？

幾種能力結合之後，先至形成今次風險：

1. 理解及生成程式碼：代理可以閱讀陌生程式碼，再按目標環境製作工具。
2. 使用工具：代理唔再只係回覆文字，而係可以執行命令及連接系統。
3. 分析結果：代理可以解讀命令輸出、日誌或被竊資料，並以此決定下一步。
4. 保留上下文：設定檔及連接式工作流程可以在不同工作階段保留指示或狀態。
5. 大規模重複操作：相同流程可以更快套用到不同主機、帳戶或目標，速度遠超人手逐一處理。

Check Point表示，AI過去一年亦已被用於偵察、社交工程、惡意軟件開發，以及入侵後活動。 單獨睇每項能力，可能仍然可控；但當佢哋串連成一條攻擊鏈，當中需要人手交接的環節就會大幅減少。

日常使用GenAI亦可能造成資料外洩

企業唔一定要直接受到AI代理攻擊，先會面對AI相關資料風險。員工為咗搵AI幫手完成工作，有機會將登入資料、原始碼、個人資料，或者受規管的商業資訊貼到外部GenAI服務。

Check Point年度數據顯示，包含敏感企業、個人或受規管資料的高風險提示，在報告期內由2%升至4%，即大約由每50次互動有1次，變成每25次有1次。

高風險互動亦相當普遍。按不同報告期及計算方式，Check Point相關報道指，每月最少出現一次呢類互動的企業比例介乎87%至93%。

不過，數字需要放返喺背景入面理解。年度更新曾指每間企業平均每月使用10個AI應用程式；較後的2026年7月更新則提到8個工具，以及每36次提示有1次屬高風險。由於兩者來自不同報告期，若無底層方法論，唔應直接當成一條連續趨勢。

現有報告資料亦未能證實所要求的、按地區劃分的AI應用程式數量、提示總量及高風險提示增幅。資料只顯示不同地區的暴露程度有差異；至於歐洲網絡攻擊按年增加18%、北美增加9%，屬於整體攻擊量指標，並唔係GenAI提示數據。

點解Check Point認為單靠監管唔夠？

監管可以訂立問責及最低要求，但未必可以阻止員工將敏感文字交俾未經批准的服務，亦未必能夠自動發現AI代理執行一連串異常命令。代理驅動的攻擊可以快過政策修訂及傳統審查流程。

因此，Check Point建議採取四層防守：

• 技術控制：找出已批准及未經批准的AI工具，限制敏感資料分享，實施最小權限原則，並嚴格管理代理權限。
• 安全測試：測試AI應用程式及連接式代理，檢查提示注入、不安全工具存取、暴露端點及供應鏈弱點。
• 人員及流程：清楚列明獲批准的工具及使用情境，並培訓員工，知道乜嘢資料絕對唔應該輸入公共或未批准系統。
• 持續監察及應變：監察代理行為、異常資料流及工具使用，並具備快速調查、隔離或封鎖活動的能力。

結論：企業要監控AI做緊乜，而唔係只睇佢講咗乜

Check Point在7月的評估，揭示的是AI位於攻擊鏈上的位置正在改變：由準備階段，走入執行及決策階段。墨西哥個案展示可能涉及的規模，中國相關行動展示AI可以承擔的戰術比例，而企業提示數據則反映同一類技術已經在日常工作中製造資料暴露風險。

對企業來講，最穩妥的做法唔係假設AI會永遠只係被動助手，亦唔係只靠合規字眼交差，而係要清楚掌握邊啲AI系統正在使用、限制系統可以接觸的資料及權限，將模型輸入當成不可信內容處理，並以足夠密度持續監察自動化行動。

AI由助手變成攻擊流程一部分

Check Point並唔係話人類已經完全退出網絡攻擊。更準確咁講，人類仍然負責訂立目標同設計整體架構，但AI開始承擔愈來愈多實際操作，包括探索系統、生成或修改工具、執行命令、分析資料，以及推進整條攻擊鏈。

分別在於，一般AI助手只會先產生答案，再交俾人審核；具備代理能力的AI系統就可以使用工具、觀察結果，然後決定下一步。如果系統同Shell存取權、程式碼儲存庫、雲端服務或者已被入侵的基礎設施連接，模型就會成為攻擊行動循環的一部分。

墨西哥個案：兩個AI工具分工合作

報告提到的主要刑事個案，涉及一名威脅行動者。據報在2025年年底至2026年初期間，對9個墨西哥政府機構發動入侵，令約4億筆公民紀錄曝光。攻擊者使用Anthropic的Claude Code及OpenAI的GPT-4.1，兩者都唔只係用作事前規劃，而係直接成為行動工具。

據報兩個工具分工如下：

• Claude Code：負責即時漏洞利用，以及在入侵過程中執行命令。
• GPT-4.1：處理偵察資料及被外洩的資訊，將原始資料整理成情報，並協助推動後續工作。
• 兩者合計據報執行超過5,000個AI指令。

部分二手報道列出更精確的數字，例如1,088次人手提示、34個攻擊時段，以及約75%的遠端命令由Claude Code執行。不過，呢啲數字應視為報道所述的事件調查結果，而唔係已由完整公開法證紀錄獨立核實的事實。現有資料顯示，個案源自Gambit的安全研究，之後由Check Point引用，但未有提供完整公開的事件紀錄。

真正值得留意的，唔係某一個模型特別危險，而係工具之間形成咗一個「回饋循環」：AI可以採取行動、檢查結果，再根據結果繼續落手做，令操作者毋須逐項親自處理偵察、入侵及資料整理。

中國相關行動：AI負責大部分戰術工作

Check Point亦描述一宗與中國有關聯的間諜行動，目標約為30個組織。報告指，AI據報負責整個戰術操作的約80%至90%。現有報道將呢個比例當作估算，並非逐條命令的完整統計。

呢個例子顯示，風險唔只限於臨時起意的網絡犯罪。Coding agent可以在多個目標之間不斷調整方法，處理大量重複而需要適應環境的工作；操作者則保留戰略層面的控制權。

攻擊者點樣繞過AI安全防線？

報告及相關資料提到兩大方向。

越獄及操控指示

攻擊者可以嘗試以提示越獄方式，說服商用模型忽略安全規則。但對防守者來講，更值得警惕的可能係模型周邊的工作環境。AI代理有機會將檔案、程式碼儲存庫或者其他待處理內容入面的文字，誤當成可信指示。

其中一種據報的持久化手法，係利用CLAUDE.md一類的受信任設定檔。如果AI代理會在不同工作階段自動載入呢啲指示，攻擊者就可能影響它日後的行為，而唔需要每次都在聊天介面重新說服模型。

間接提示注入

間接提示注入，即係將惡意指示藏入AI系統會閱讀的內容，例如文件、網頁、程式碼庫或者工具回應。如果系統將內容當成命令，而唔係當成不可信資料，攻擊者就可能改變代理的行動方向。

與Check Point相關的報道指，2026年3月至5月期間，較大型提示注入Payload的偵測數量增加約5倍。不過，呢個數字只反映觀察到的Payload變化，唔代表每個Payload都成功，或者每次都造成入侵。

點解coding agent令攻擊更自主？

幾種能力結合之後，先至形成今次風險：

1. 理解及生成程式碼：代理可以閱讀陌生程式碼，再按目標環境製作工具。
2. 使用工具：代理唔再只係回覆文字，而係可以執行命令及連接系統。
3. 分析結果：代理可以解讀命令輸出、日誌或被竊資料，並以此決定下一步。
4. 保留上下文：設定檔及連接式工作流程可以在不同工作階段保留指示或狀態。
5. 大規模重複操作：相同流程可以更快套用到不同主機、帳戶或目標，速度遠超人手逐一處理。

Check Point表示，AI過去一年亦已被用於偵察、社交工程、惡意軟件開發，以及入侵後活動。 單獨睇每項能力，可能仍然可控；但當佢哋串連成一條攻擊鏈，當中需要人手交接的環節就會大幅減少。

日常使用GenAI亦可能造成資料外洩

企業唔一定要直接受到AI代理攻擊，先會面對AI相關資料風險。員工為咗搵AI幫手完成工作，有機會將登入資料、原始碼、個人資料，或者受規管的商業資訊貼到外部GenAI服務。

Check Point年度數據顯示，包含敏感企業、個人或受規管資料的高風險提示，在報告期內由2%升至4%，即大約由每50次互動有1次，變成每25次有1次。

高風險互動亦相當普遍。按不同報告期及計算方式，Check Point相關報道指，每月最少出現一次呢類互動的企業比例介乎87%至93%。

不過，數字需要放返喺背景入面理解。年度更新曾指每間企業平均每月使用10個AI應用程式；較後的2026年7月更新則提到8個工具，以及每36次提示有1次屬高風險。由於兩者來自不同報告期，若無底層方法論，唔應直接當成一條連續趨勢。

現有報告資料亦未能證實所要求的、按地區劃分的AI應用程式數量、提示總量及高風險提示增幅。資料只顯示不同地區的暴露程度有差異；至於歐洲網絡攻擊按年增加18%、北美增加9%，屬於整體攻擊量指標，並唔係GenAI提示數據。

點解Check Point認為單靠監管唔夠？

監管可以訂立問責及最低要求，但未必可以阻止員工將敏感文字交俾未經批准的服務，亦未必能夠自動發現AI代理執行一連串異常命令。代理驅動的攻擊可以快過政策修訂及傳統審查流程。

因此，Check Point建議採取四層防守：

• 技術控制：找出已批准及未經批准的AI工具，限制敏感資料分享，實施最小權限原則，並嚴格管理代理權限。
• 安全測試：測試AI應用程式及連接式代理，檢查提示注入、不安全工具存取、暴露端點及供應鏈弱點。
• 人員及流程：清楚列明獲批准的工具及使用情境，並培訓員工，知道乜嘢資料絕對唔應該輸入公共或未批准系統。
• 持續監察及應變：監察代理行為、異常資料流及工具使用，並具備快速調查、隔離或封鎖活動的能力。

結論：企業要監控AI做緊乜，而唔係只睇佢講咗乜

Check Point在7月的評估，揭示的是AI位於攻擊鏈上的位置正在改變：由準備階段，走入執行及決策階段。墨西哥個案展示可能涉及的規模，中國相關行動展示AI可以承擔的戰術比例，而企業提示數據則反映同一類技術已經在日常工作中製造資料暴露風險。

對企業來講，最穩妥的做法唔係假設AI會永遠只係被動助手，亦唔係只靠合規字眼交差，而係要清楚掌握邊啲AI系統正在使用、限制系統可以接觸的資料及權限，將模型輸入當成不可信內容處理，並以足夠密度持續監察自動化行動。