踏入 Agentic AI 時代，面對日益複雜的網絡安全威脅，企業必須重新思考和重塑整體安全架構。第二集《Fortinet – Agentic AI 安全攻防戰》，Fortinet 北亞區首席信息安全官鄺偉基（Daniel）將視點由基建平台延伸至整體架構層面，拆解在應用安全層（Application Security Level）中的「安全鐵三角」，讓企業更清楚如何在 Agentic AI 的應用場景中，構建實用且嚴密的安全防線。
Daniel指出，一個完整且可落地的 Agentic AI 安全架構， 至少需涵蓋三個核心層級：基礎建設（Infrastructure）、應用（Application）以及數據與治理（Data and Governance），三者環環相扣，缺一不可。
在上集中， Daniel 提到部署 Agentic AI 須以基建層為起點，透過 Kubernetes 的網絡分隔（Segmentation）機制，將潛在風險限制在局部範圍內。
當基礎建設穩固後，第二層的「應用安全」 （Application Security） 就成為支撐 Agentic AI 運作的核心防線，負責防禦實際應用流量的安全風險。
由「單向防守」轉至「雙向流量管控」
在現實環境中，絕大部分應用流量早已透過加密通道傳送，無論是傳統的 JSON API，還是 gRPC、WebSocket 或 MCP 等高效能、即時和智能協議，本質上都是透過 Web 與 API 進行溝通。Daniel 解釋，過往多數安全方案的設計重點，主要放在由外到內的進站請求（Incoming Request），即從外界進入企業伺服器的流量。
然而，在 Agentic AI 的世界裡，AI 代理（Agent）不再只是被動接收指令，而是會主動向外查詢、抓取資料，甚至持續調用第三方服務。換言之，企業除了要守住「入口」，針對向外發出的出站請求（Outgoing Request）所帶來的潛在風險，同樣不能掉以輕心。
正因如此，在應用安全架構中，有兩個關鍵角色尤其重要：
1. WAAP（Web Application and API Protection）：不再限於傳統 WAF，其防護已涵蓋各類 API（包括 gRPC、WebSocket 和 MCP）。WAAP 部署於 Incoming Request 端，負責解密流量並拆解不同格式的 API 流量內容。
2. SWG（Secure Web Gateway）：扮演代理伺服器（Proxy）的角色，是處理向外發出請求時的前向代理（Forward Proxy）。當 AI 代理（Agent）向外部網絡抓取資料或向第三方服務呼叫 API 時，所有流量均須經由此 Proxy。SWG 透過「中間人機制（Man-in-the-middle）」進行解密與檢測，攔截惡意負載、可疑數據或不恰當請求，確保外部資源存取安全。
事實上，合規要求較高的金融服務業，早已普遍採用「入有 WAAP、出有 SWG」的雙向防禦組合架構。Daniel 指出相比之下，不少非金融機構目前仍缺乏此類完整部署；到了 Agentic AI 時代，這種安全缺口將日益顯現，極易成為攻擊者的突破口。
Fortinet 北亞區首席信息安全官鄺偉基（Daniel）提出 Agentic AI 的安全架構分為三層，當中在應用層面上可採用「安全鐵三角」。
從流量安全到語言層攻擊
除了「一出一入」的網絡流量控制，大型語言模型越獄（Jailbreak）亦是企業在應用 Agentic AI 時面臨的嚴峻挑戰。所謂越獄，即是是誘導模型違反安全政策，輸出不應輸出的內容，例如惡意程式碼、釣魚電郵，或繞過既有安全機制等。
Daniel 進一步解釋，「傳統網絡倚重數據及機器學習，能精準預測已知威脅，惟面對 AI 極為快速的變化，以及攻擊者利用自然語言精心設計的各類提示指令（Prompt），表達方式千變萬化，單靠傳統基於特徵碼（Signature-based）的 WAAP 已不足以應對。
要對抗語言層面的新型威脅，必須在 Prompt 的層面上加設專門的防線。
Fortinet 推出專門針對 Prompt 安全的全新方案—FortiAIGate，成為「應用安全鐵三角」中的重要一環。FortiAIGate 的核心機制是在 API 將 Prompt 傳入大型語言模型（LLM）之前，以及 LLM 把結果回傳至 API 之前，各加上一道專門分析 Prompt 的安全閘口。
