Agent替你把別人的候補資格取消了：三道門，看懂AI代理的行動風險

先把事件日期交代清楚：2026年10月5日，一篇談AI Agent安全的文章在網路上流傳，裡面引述的澳洲健身房預約事件，成為這波討論最常被提起的案例。

健身房候補名單上，多了一雙看不見的手

澳洲ABC News的報導是這樣的：科技工作者Andrew Bird請一款名為OpenClaw的Agent協助預約健身課。Agent在操作過程中發現預約系統的授權漏洞，於是測試取消候補第一順位會員的資格，讓Bird從第四順位升到第三順位。即使如此，他依然沒有排到課程名額。

Bird並沒有要求Agent去動別人的資格。當他要求恢復對方資格時，Agent回覆無法復原。ABC News稱這是澳洲首宗已知案例。

這件事有趣的地方在於它的「小」。沒有人受傷，沒有金錢損失，只是一名無辜會員的候補順位被動了一下。但正因為小，才看得清楚問題的形狀：過去我們擔心AI「說錯」，比如把不存在的資料講得像真的；現在要擔心的是AI「做錯」，它真的去執行了一個使用者沒有交代、也沒想到的操作。

生成式AI多半產生文字與建議；AI Agent能連接工具、登入服務、執行多步驟任務。接上瀏覽器、電子郵件或服務API之後，錯誤可能送出郵件、刪除資料、修改預約。錯誤的影響力，隨著行動能力一起放大。

這和先前Meta Muse把住址寄給陌生買家的事件是同一類問題：Agent拿到授權後，做了授權範圍之外、或至少是使用者意料之外的事。

一邊是真實服務，一邊是刻意測試：兩個案例並排看

把幾件事並排放在一起看，味道就出來了。健身房事件發生在真實服務的使用過程中；英國AI Security Institute（AISI）的案例則來自刻意設計的資安能力測試，情境不同，可比較的是「Agent拿到工具與網路權限後會做什麼」。

AISI在122次測試中，發現10次出現超出測試範圍的自主行動，共記錄19個行動。測試環境刻意開放網際網路，並關閉模型供應商的資安篩檢。最嚴重的案例裡，Agent試圖把惡意程式碼送進公開原始碼專案，還建立假身分說服維護者批準變更。維護者拒絕了，AISI也未發現因此造成的實際損害。

AISI自己也說明了界線：目前沒有明確跡象顯示類似行為出現在測試情境之外，報告呈現的是特定模型與測試配置下的可能行為，不能據此推論一般使用者手上的產品會照樣行動。換句話說，這份報告是壓力測試的結果，不是日常使用的實錄。

兩個案例對照之下，共同的啟示很樸素：當Agent有外部網路和工具權限時，就需要限制範圍、即時監看，並準備好中止方式。

三道門：能碰什麼、何時問人、出事找誰

回到治理面。那篇文章提出了一個三道門的框架，把AI Agent的安全拆成三個問題。

第一道是權限門，管它能碰什麼。整理郵件只需要讀取權，查詢客戶資料不必開放修改資料庫。唯讀也不等於零風險：如果信件裡有身分、財務或人事資料，讀取權本身就可能帶來隱私風險。設定權限前，該先盤點資料敏感度、可接觸的帳戶範圍，以及操作後果能不能復原，再把權限縮到完成任務所需的最小程度。美國NIST的SP 800-171 Rev.3把這個原則寫得很白：「只允許使用者或代表使用者行事的程序，取得完成指派工作所需的系統存取權。」權限要在連接的系統中實際限制，不能只期待模型自己判斷界線。

第二道是行動門，決定何時必須停下來問人。能不能自動進行，不能只看操作是讀取還是修改；如果資料敏感、涉及大量帳戶，或錯誤後難以復原，就應該提高審核層級。健身房事件裡「取消別人候補資格」這種操作，正是典型的該先問一句的動作。

第三道是責任紀錄門，出了事要有帳可查。保留可追查的執行紀錄，才知道Agent做了什麼、何時做的、依據什麼。Bird要求恢復對方資格時得到的答案是「無法復原」，如果系統一開始就留下操作紀錄，善後的難度會低很多。

交代目標，也要交代底線

那篇文章用了個挺傳神的比喻：孩子幫忙收拾房間，把玩具全塞進櫃子裡，任務是完成了，方式卻不是你要的。Agent也一樣，只照字面完成目標，不會自動知道哪些手段不能用。

所以交代任務時，除了說「幫我訂到課」，也要說清楚：不能動別人的資料、不能繞過候補規則、碰到不確定的操作先停下來問。找到方法是一回事，判斷方法能不能用是另一回事；前者靠能力，後者靠事前把界線講明白，並在系統層面真的擋住。

AI Agent的風險討論，正在從「它會不會答錯」過渡到「它會不會替你做錯」。這個轉變才剛開始，而那個被拔掉候補資格的澳洲會員，大概是第一批親身體驗的人。