研究人員指出，部分檔案直接提及財政部系統名稱、主機名稱及內部 IP 地址，並含有專門針對 Hadoop、Apache Ambari 管理平台等系統的攻擊腳本等。研究員亦在同一伺服器上發現一個 PHP Web Shell，據稱已被部署至財政部的一台網頁伺服器上。而透過分析攻擊基礎設施所使用的 TLS 證書及 JA4X 指紋，Hunt.io 進一步將該伺服器，與另外兩台位於馬來西亞及香港的攻擊者控制伺服器連結起來，顯示相關主機可能屬同一攻擊基礎設施，或存在營運關聯。
「YOLO 模式」成關鍵 取消人工審批機制
據知這次入侵同樣借助了 AI 來發動攻擊，黑客使用的是一款名為 Hermes 的開源 AI 代理，剛於今年 2 月發佈，它具備持久化運行及跨任務記憶能力，可與各類工具互動並自動執行指令。其中的「YOLO 模式」可說是本次事件的關鍵功能，該模式會移除原本要求人手核准危險指令的安全提示，讓 AI 代理在毋須等待人工批准，便能持續分析系統並自主執行後續動作。
Hunt.io 從曝露目錄中回收的五份 Hermes 運行記錄顯示，黑客曾指示 AI 代理尋找權限提升途徑、掃描核心層漏洞、搜尋 SUID 及 SGID 二進制檔案、檢查容器狀態，以及在檔案系統中進行橫向探索。
踏入 Agentic AI 時代，面對日益複雜的網絡安全威脅，企業必須重新思考和重塑整體安全架構。第二集《Fortinet – Agentic AI 安全攻防戰》，Fortinet 北亞區首席信息安全官鄺偉基（Daniel）將視點由基建平台延伸至整體架構層面，拆解在應用安全層（Application Security Level）中的「安全鐵三角」，讓企業更清楚如何在 Agentic AI 的應用場景中，構建實用且嚴密的安全防線。
Daniel指出，一個完整且可落地的 Agentic AI 安全架構， 至少需涵蓋三個核心層級：基礎建設（Infrastructure）、應用（Application）以及數據與治理（Data and Governance），三者環環相扣，缺一不可。
在上集中， Daniel 提到部署 Agentic AI 須以基建層為起點，透過 Kubernetes 的網絡分隔（Segmentation）機制，將潛在風險限制在局部範圍內。
當基礎建設穩固後，第二層的「應用安全」 （Application Security） 就成為支撐 Agentic AI 運作的核心防線，負責防禦實際應用流量的安全風險。
由「單向防守」轉至「雙向流量管控」
在現實環境中，絕大部分應用流量早已透過加密通道傳送，無論是傳統的 JSON API，還是 gRPC、WebSocket 或 MCP 等高效能、即時和智能協議，本質上都是透過 Web 與 API 進行溝通。Daniel 解釋，過往多數安全方案的設計重點，主要放在由外到內的進站請求（Incoming Request），即從外界進入企業伺服器的流量。
然而，在 Agentic AI 的世界裡，AI 代理（Agent）不再只是被動接收指令，而是會主動向外查詢、抓取資料，甚至持續調用第三方服務。換言之，企業除了要守住「入口」，針對向外發出的出站請求（Outgoing Request）所帶來的潛在風險，同樣不能掉以輕心。
正因如此，在應用安全架構中，有兩個關鍵角色尤其重要：
1. WAAP（Web Application and API Protection）：不再限於傳統 WAF，其防護已涵蓋各類 API（包括 gRPC、WebSocket 和 MCP）。WAAP 部署於 Incoming Request 端，負責解密流量並拆解不同格式的 API 流量內容。
2. SWG（Secure Web Gateway）：扮演代理伺服器（Proxy）的角色，是處理向外發出請求時的前向代理（Forward Proxy）。當 AI 代理（Agent）向外部網絡抓取資料或向第三方服務呼叫 API 時，所有流量均須經由此 Proxy。SWG 透過「中間人機制（Man-in-the-middle）」進行解密與檢測，攔截惡意負載、可疑數據或不恰當請求，確保外部資源存取安全。
事實上，合規要求較高的金融服務業，早已普遍採用「入有 WAAP、出有 SWG」的雙向防禦組合架構。Daniel 指出相比之下，不少非金融機構目前仍缺乏此類完整部署；到了 Agentic AI 時代，這種安全缺口將日益顯現，極易成為攻擊者的突破口。
Fortinet 北亞區首席信息安全官鄺偉基（Daniel）提出 Agentic AI 的安全架構分為三層，當中在應用層面上可採用「安全鐵三角」。
從流量安全到語言層攻擊
除了「一出一入」的網絡流量控制，大型語言模型越獄（Jailbreak）亦是企業在應用 Agentic AI 時面臨的嚴峻挑戰。所謂越獄，即是是誘導模型違反安全政策，輸出不應輸出的內容，例如惡意程式碼、釣魚電郵，或繞過既有安全機制等。
Daniel 進一步解釋，「傳統網絡倚重數據及機器學習，能精準預測已知威脅，惟面對 AI 極為快速的變化，以及攻擊者利用自然語言精心設計的各類提示指令（Prompt），表達方式千變萬化，單靠傳統基於特徵碼（Signature-based）的 WAAP 已不足以應對。
要對抗語言層面的新型威脅，必須在 Prompt 的層面上加設專門的防線。
Fortinet 推出專門針對 Prompt 安全的全新方案—FortiAIGate，成為「應用安全鐵三角」中的重要一環。FortiAIGate 的核心機制是在 API 將 Prompt 傳入大型語言模型（LLM）之前，以及 LLM 把結果回傳至 API 之前，各加上一道專門分析 Prompt 的安全閘口。
研究人員指出，部分檔案直接提及財政部系統名稱、主機名稱及內部 IP 地址，並含有專門針對 Hadoop、Apache Ambari 管理平台等系統的攻擊腳本等。研究員亦在同一伺服器上發現一個 PHP Web Shell，據稱已被部署至財政部的一台網頁伺服器上。而透過分析攻擊基礎設施所使用的 TLS 證書及 JA4X 指紋，Hunt.io 進一步將該伺服器，與另外兩台位於馬來西亞及香港的攻擊者控制伺服器連結起來，顯示相關主機可能屬同一攻擊基礎設施，或存在營運關聯。
「YOLO 模式」成關鍵 取消人工審批機制
據知這次入侵同樣借助了 AI 來發動攻擊，黑客使用的是一款名為 Hermes 的開源 AI 代理，剛於今年 2 月發佈，它具備持久化運行及跨任務記憶能力，可與各類工具互動並自動執行指令。其中的「YOLO 模式」可說是本次事件的關鍵功能，該模式會移除原本要求人手核准危險指令的安全提示，讓 AI 代理在毋須等待人工批准，便能持續分析系統並自主執行後續動作。
Hunt.io 從曝露目錄中回收的五份 Hermes 運行記錄顯示，黑客曾指示 AI 代理尋找權限提升途徑、掃描核心層漏洞、搜尋 SUID 及 SGID 二進制檔案、檢查容器狀態，以及在檔案系統中進行橫向探索。
