快速閱讀：AI Agent 資安風險高於純聊天，因為 Agent 通常能讀取業務系統並執行動作（查 CRM、發郵件、開連結）。ForcedLeak 顯示攻擊者可把惡意指示藏進 Web-to-Lead 等公開欄位；當員工稍後用 Agent 查詢該潛在客戶時，模型可能執行指示並外洩資料。防衛核心是：把不可信輸入當攻擊面、限制 Agent 可讀範圍與外連、對敏感動作加人工批准，並維護可信網域白名單。
快速閱讀：AI Agent 資安的核心，是防止「會動手的模型」被不可信內容驅動去做讀取、匯出或外連。2025 年披露的 ForcedLeak 把這件事說得很清楚：攻擊不必先入侵你的伺服器，只要污染你會給 Agent 讀的資料。
總覽見 AI 資安案件總覽；機制近親見 提示注入／EchoLeak；郵件 Agent 另見 ShadowLeak 討論於總覽與相關連結。
為什麼 Agent 比「會聊天的機器人」危險一個數量級
當模型只能輸出文字，最壞情況多是錯答或品牌語氣失控。當 Agent 可以：
- 查詢大量 CRM 記錄
- 發送電郵或呼叫 Webhook
- 開啟瀏覽器或下載檔案
失敗就變成資料外洩或未授權動作。HKCERT 亦將具自主執行能力的 Agent 列為 2026 關注風險之一。
ForcedLeak：公開表單 → 延遲引爆 → CRM 外洩
根據 Noma Labs 公開說明（ForcedLeak 報告），攻擊鏈大致如下：
- 攻擊者在公開潛在客戶表單（例如 Web-to-Lead）的長文字欄位寫入隱藏／伪装指示。
- 資料正常進入 CRM，表面像普通詢盤。
- 員工稍後用 Agentforce 詢問「幫我看看這個 lead」。
- Agent 讀取受污染欄位，把指示當成任務，匯集可及資料並嘗試外送到受信任名單中的漏洞（例如過期但仍在白名單的網域）。
研究給予約 CVSS 9.4 的嚴重級評級；Salesforce 其後加強 Trusted URL 等控制。對企業的含義是：修補必要，但「不可信輸入 + 寬權限 Agent」的組合仍會在其他產品重現。
香港銷售與市場團隊檢查清單
- 表單欄位：自由文字愈長、愈少驗證，愈適合藏指示；能用選項就不要開放過長的自由文字欄。
- Agent 範圍：預設只讀單一記錄，禁止「搜尋全部客戶」類工具，除非有額外審批。
- 外連白名單：禁止 Agent 任意開啟外部 URL；定期檢查白名單網域是否過期被搶註。
- 動作閘道：發郵件、匯出、大量更新必須人工確認。
- 日誌：保留「誰用 Agent 讀了什麼、呼叫了什麼工具」，事故時才有得查。
與網站、內容自動化的關係
許多香港品牌會把官網表單、WhatsApp 與 CRM 串起來。這很好，但若再疊 AI Agent，必須先畫信任邊界。對外內容與 GEO 可見度可以積極做（見 GEO／AI Search），內部客戶資料則要保守。網站承接與權限設計亦可參考 品牌網頁製作。
AI Agent 資安：總結與下一步
ForcedLeak 的教訓不是「不要用 CRM AI」，而是不要讓 Agent 同時擁有：讀不可信輸入、讀大量敏感資料、可外連這三權。下一篇若你關心人才與香港市場，請讀 AI 資安前途；若關心員工把資料輸入未批准工具，請讀 Shadow AI。
利益披露：若你關心「學 AI／導入 Agent 時如何避險，以及相關技能前途」，請到姊妹品牌 AI Academy HK 閱讀〈提示注入與 AI Agent：學 AI 時如何避險，這一行有沒有前途〉，並對照 職場案件總覽 與 實戰課程。trafficholic 本篇聚焦 CRM／Agent 攻擊面；系統化學習路徑由學院站提供。
內容審閱：2026年9月｜作者／審閱：Timson Kwok（trafficholic 創辦人）。觀點來自真實合作流程、渠道數據觀察同企業 AIO／AI Search 落地經驗；數字會隨平台演算法更新，請以當期後台為準。非金融／法律意見。
AI Agent 資安 常見問題
AI Agent 跟 Chatbot 差在哪裡？
Chatbot 多半回答問題；Agent 還會呼叫工具與改動系統狀態。多了「動手」能力，就多了外洩與誤操作面。
ForcedLeak 是否只影響 Salesforce？
案件本身針對 Agentforce，但模式可遷移：任何「公開輸入 → 存進系統 → Agent 稍後讀取並行動」的架構都應假設存在類似風險。
市場部開了網頁表單接 lead，有風險嗎？
有，若後端 AI 會閱讀表單自由文字並擁有寬鬆 CRM／外連權限。應限制欄位、過濾指令樣文字、縮小 Agent 範圍。
供應商已修補是否代表安全？
修補降低已知鏈，但不消除提示注入的結構性挑戰。企業仍需設定 Trusted URL、權限與監控。
