總覽見 AI 資安案件總覽；機制近親見 提示注入／EchoLeak；郵件 Agent 另見 ShadowLeak 討論於總覽與相關連結。
為什麼 Agent 比「會聊天的機器人」危險一個數量級
當模型只能輸出文字，最壞情況多是錯答或品牌語氣失控。當 Agent 可以：
- 查詢大量 CRM 記錄
- 發送電郵或呼叫 Webhook
- 開啟瀏覽器或下載檔案
失敗就變成資料外洩或未授權動作。HKCERT 亦將具自主執行能力的 Agent 列為 2026 關注風險之一。
ForcedLeak：公開表單 → 延遲引爆 → CRM 外洩
根據 Noma Labs 公開說明（ForcedLeak 報告），攻擊鏈大致如下：
- 攻擊者在公開潛在客戶表單（例如 Web-to-Lead）的長文字欄位寫入隱藏／伪装指示。
- 資料正常進入 CRM，表面像普通詢盤。
- 員工稍後用 Agentforce 詢問「幫我看看這個 lead」。
- Agent 讀取受污染欄位，把指示當成任務，匯集可及資料並嘗試外送到受信任名單中的漏洞（例如過期但仍在白名單的網域）。
研究給予約 CVSS 9.4 的嚴重級評級；Salesforce 其後加強 Trusted URL 等控制。對企業的含義是：修補必要，但「不可信輸入 + 寬權限 Agent」的組合仍會在其他產品重現。
香港銷售與市場團隊檢查清單
- 表單欄位：自由文字愈長、愈少驗證，愈適合藏指示；能用選項就不要開放過長的自由文字欄。
- Agent 範圍：預設只讀單一記錄，禁止「搜尋全部客戶」類工具，除非有額外審批。
- 外連白名單：禁止 Agent 任意開啟外部 URL；定期檢查白名單網域是否過期被搶註。
- 動作閘道：發郵件、匯出、大量更新必須人工確認。
- 日誌：保留「誰用 Agent 讀了什麼、呼叫了什麼工具」，事故時才有得查。
與網站、內容自動化的關係
許多香港品牌會把官網表單、WhatsApp 與 CRM 串起來。這很好，但若再疊 AI Agent，必須先畫信任邊界。對外內容與 GEO 可見度可以積極做（見 GEO／AI Search），內部客戶資料則要保守。網站承接與權限設計亦可參考 品牌網頁製作。
AI Agent 資安：總結與下一步
ForcedLeak 的教訓不是「不要用 CRM AI」，而是不要讓 Agent 同時擁有：讀不可信輸入、讀大量敏感資料、可外連這三權。下一篇若你關心人才與香港市場，請讀 AI 資安前途；若關心員工把資料輸入未批准工具，請讀 Shadow AI。
利益披露：若你關心「學 AI／導入 Agent 時如何避險，以及相關技能前途」，請到姊妹品牌 AI Academy HK 閱讀〈提示注入與 AI Agent：學 AI 時如何避險，這一行有沒有前途〉，並對照 職場案件總覽 與 實戰課程。trafficholic 本篇聚焦 CRM／Agent 攻擊面；系統化學習路徑由學院站提供。
AI Agent 資安 常見問題
AI Agent 跟 Chatbot 差在哪裡？
Chatbot 多半回答問題；Agent 還會呼叫工具與改動系統狀態。多了「動手」能力，就多了外洩與誤操作面。
ForcedLeak 是否只影響 Salesforce？
案件本身針對 Agentforce，但模式可遷移：任何「公開輸入 → 存進系統 → Agent 稍後讀取並行動」的架構都應假設存在類似風險。
市場部開了網頁表單接 lead，有風險嗎？
有，若後端 AI 會閱讀表單自由文字並擁有寬鬆 CRM／外連權限。應限制欄位、過濾指令樣文字、縮小 Agent 範圍。
供應商已修補是否代表安全？
修補降低已知鏈，但不消除提示注入的結構性挑戰。企業仍需設定 Trusted URL、權限與監控。
