安全團隊須知：代理使用已移除安全機制模型的風險與對策

如何偵測 Shadow AI 的使用、使用動態政策，並防止未來連線

2026年7月，OpenAI 與 Hugging Face 事件證明瞭在未加保護時，代理與其底層模型的強大。OpenAI 的代理在未使用常規保護措施的情況下執行模型，能在網路安全評估期間突破沙盒，創造利用漏洞、透過隱藏通訊通道協調行動，並竊取雲端憑證與私人評估資料。

在今日的環境中，還有其他實際的現實用例需要代理在沒有每日使用的前沿模型所具備的保護措施下執行。

例如，紅隊測試需要代理嘗試竊取憑證或攻擊公司資料，這就需要降低或移除模型保護措施。在 OpenAI 與 Hugging Face 事件中，團隊必須使用開放權重模型來調查事件，因為前沿模型的保護措施拒絕了其需要的請求。在這類情況下，移除這些保護措施的一個流程稱為 abliteration，在開放權重前沿模型（如 GLM-5.3）上外科手術般移除拒絕訓練。

Abliteration 的運作方式

Abliteration 只能在 開放權重模型 上實現，因為此過程需要您能在自己的環境中載入並執行的權重，而非透過他人 API。

模型的拒絕行為由一個內部「拒絕」訊號驅動。為了找出對應「拒絕此請求」的模型內部啟用空間方向，您必須對模型做前向傳遞並直接修改其權重或啟用。這意味著您必須擁有權重本身。Abliteration 非常有效，Anthropic 已證明，對 GLM-5.3 進行 abliteration 後，在測試中對有害網路攻擊指令的遵從率達到 100%。任何下載 GLM-5.3、Llama 或 Qwen 權重的人都可以在自己的 GPU、雲端或本地環境（不必是實體本地硬體）上進行 abliteration，然後重新分發或使用該簡化版本。

Abliteration 只對可直接存取權重的模型有效，對於僅透過 API 進行存取的模型（如 Claude）無效。如果您只是傳入文字並得到文字輸出，永遠不會觸碰權重或內部啟用。

安全團隊需要了解的事項

需要一個中立的第三方

代理行為的安全結果總是取決於其被指派的任務，以及它如何使用工具、串聯上下文並在其生命週期的每一步做出決策。模型只是更廣泛工具集、行為與上下文中的一個部分，這些元件串聯成預期、意外、惡意或善意的結果。在考慮像 abliteration 模型這樣的風險控制時，雖然對模型本身的更佳保護措施很重要，但重要的治理與控制仍然在於 一個中立方觀察並在需要時限制代理的行為。

為代理設定自訂政策，並監控其是否過度行為

當您使用 abliteration 代理進行研究或滲透測試時，您需要能夠設定能在全域運作、將代理限制在其沙盒內或防止其在過程中對組織造成實質傷害的自訂政策。

這將是一套完全不同的控制方式，與開啟安全防護的模型所得到的截然不同。模型會判斷某種內容是否應該存在。相對地，政策在動作層面上執行範圍與授權：代理能接觸哪些系統、能發出哪些工具呼叫，以及什麼算作該代理的新或異常行為。

即使紅隊在沙盒內執行已被消除的模型，仍需政策將該活動限制於授權目標並完整記錄，而不是阻止模型願意編寫利用程式碼，而是確保該程式碼永遠無法找到通往範圍與目標之外的路徑。

即便如此，僅靠政策已知有其限制：它必須事先編寫，而已被消除的模型按定義上擅長發現靜態規則未預期的路徑。

這就是合理期待代理詢問（interrogation）扮演互補角色的地方。Eve Security 的詢問方法會在動作對該特定代理既不尋常又超過設定風險閾值時暫停該動作，要求代理以自身語言為行動作出說明，然後再執行，並將此說明與實際上下文（如已驗證的變更單）核對，而非僅照字面接受。簡而言之，詢問是在驗證層面比表面政策能更深入地瞭解代理實際執行的行為。

獲得 Shadow AI 的可見性

當未知代理使用已被消除的模型行為惡意時，你需要能在組織內偵測並停止它。代理程式通常是代理、MCP 伺服器或 SaaS 機器人的清單，但對已消除模型的 API 請求可能隱藏在像本地 Python 可執行檔這樣簡單的東西中。這不會出現在代理程式中，代理的模型也不會出現在 Cursor 的設定中，例如，因為程式中所發生的只是開啟到一個主機名的連線，而該主機名恰好是雲端模型 API。

從防火牆的角度看，普通開發者的 HTTPS 會被看到。但對於消除（abliteration），你需要尋找的至少是主機名，尤其是你連線到類似 `api.abliteration.ai,` 的已知模型 API 時。

因為 Eve 透過端點連線，我們可以看到 Python 程式進行到 API 的呼叫，並由受管機器呼叫該主機的訊號所觸發。要偵測此行為或任何來自已批准代理的 API 連線，你需要 將 API 呼叫與程式、使用者與目的地繫結。

以下是一張偵測結果的圖示，若員工在組織內使用已消除模型建立自訂代理時會呈現的樣子。

阻止連線至已消除模型

一旦你看到惡意代理，你需要一種方法來阻止它，並防止類似的呼叫再次在組織中被觸發。當 Eve 透過端點偵測到 Shadow AI 時，它會透過 EDR 封鎖該 API 呼叫，並 設定全域政策以封鎖任何未來類似的呼叫。一旦 Eve 在一個客戶環境中看到它，該政策可自動套用於其他環境，防止其他人遇到相同問題。

在撰寫阻擋呼叫的政策時，細節與時機都很重要。對這類政策的撰寫與改進必須以代理速度進行，並在自動化、持續自我最佳化的流程中完成。

為保護執行已被消除模型的環境，您需要具備自動化政策的能力，並能從大規模共享學習中受益，同時利用您已擁有的工具堆疊來阻斷連線。

結論

消除（Abliteration）是由於開放權重模型的普及所帶來的新型風險，並且與近期在前沿模型中代理找出逃離沙盒方式所引發的許多確認相似。這正是為什麼現在就必須詳細說明安全團隊可以採取的措施，無論他們是否有合法使用已消除模型的需求，或是試圖完全防止其被使用。為了安全採用今日的代理，效能治理需要一套動態的執行工具，這些工具中立地位於代理之外，自動化政策建立，根據今天的學習預防未來問題，並在不確定性過高時深入調查。