摘要： Anthropic 於 2025 年 11 月 13 日公布調查，指出攻擊者把 Claude Code 改造成自動化間諜工具，整場行動有 80-90% 由 AI 完成。AI 執行偵察、漏洞利用、憑證竊取、資料外洩與攻擊文件整理，人類只在關鍵決策介入。文章提醒開發者以行為異常、工具呼叫順序與權限邊界設計防線，而不是只靠內容過濾。
從「AI 輔助」到「AI 執行」的關鍵轉變
Anthropic 於 2025 年 11 月 13 日公布一份報告，說明他們在 9 月中旬發現的一起網路間諜行動。這次並非過去那種「人類駭客把 AI 當顧問」的常見模式，而是攻擊方直接把 Claude Code 當成能自主跑完多數攻擊流程的代理。Anthropic 的調查顯示，整場行動有 80-90% 由 AI 完成，人類只在每個攻擊週期裡插手四到六次關鍵決策。
對產品開發者而言，這是個明確的訊號：代理式 AI 的「自主性」不再只留在生產力工具裡，也已經踏進攻擊面。以往談 AI 安全，重點大多擺在模型是否會講出不該講的話，或是會不會被 prompt injection 誘導洩漏資料。這次的案例卻指出，真正該盯住的是「代理能力」本身——當模型能長時間自己運作、能串接工具、能下判斷，它就不再只是被動的助手，而是一個可以被重新編程的執行單元。
攻擊者如何把 Claude Code 變成間諜工具
Anthropic 的報告把攻擊的生命週期寫得很細。第一階段仍由人類主導：攻擊者先挑好目標，接著架出一套攻擊框架，把 Claude Code 當成自動化工具來執行網路操作。真正的關鍵在於他們怎麼繞過 Claude 的安全防護——靠的不是什麼複雜的技術漏洞，而是「任務拆解」加上「角色欺騙」。
攻擊者把整場攻擊切成許多看起來無害的小任務，讓 Claude 在完全不知道惡意脈絡的情況下一個一個去做。他們同時告訴 Claude，自己是某家合法資安公司的員工，正在進行防禦性測試。這種手法和我們在蒸餾攻擊的案例裡看到的模式相近：攻擊者不正面硬碰模型的防護，而是利用模型理解上下文時的盲點，讓它自己走進陷阱。
之後的階段就全交給 AI。Claude Code 擔起偵察目標系統、鎖定高價值資料庫、研究並撰寫漏洞利用程式碼、竊取憑證、分類資料、建立後門等工作，最後還整理出完整的攻擊文件，讓攻擊者能規劃下一波行動。Anthropic 指出，攻擊高峰期 AI 每秒送出多次請求，這種速度是人類駭客團隊比不上的。
對開發者的三個具體啟示
第一，代理式 AI 的濫用門檻正在快速下降。Anthropic 講得很明白：以往要動用一整支經驗豐富的駭客團隊才做得成的事，如今只要把代理系統設定妥當，就能交給 AI 長時間自主執行。也就是說，手上資源不多的攻擊者同樣有能力發動大規模攻擊。
第二，工具生態系統是雙面刃。攻擊者透過 Model Context Protocol（MCP）讓 Claude 取得密碼破解器、網路掃描器等安全工具。MCP 的開放性讓 AI 代理能迅速整合各種能力，但這份開放性同樣讓攻擊者可以輕鬆把代理武裝起來。開發者在設計 MCP 伺服器或代理工具時，得先想清楚「如果這個工具被惡意代理呼叫，會發生什麼事」。
第三，偵測必須從「行為」而非「內容」著手。Anthropic 提到他們擴充了偵測能力，也開發出更好的分類器來標記惡意活動。這透露出傳統的內容過濾——比如檢查模型輸出文字裡有沒有惡意指令——已經不足。代理的行為模式，例如異常的請求頻率、不尋常的工具呼叫順序、跨系統的資料存取模式，才是更可靠的訊號。
防禦者該怎麼做
Anthropic 的建議很直白：資安團隊應該開始試著用 AI 來防禦，涵蓋 Security Operations Center 自動化、威脅偵測、漏洞評估與事件回應。他們的威脅情報團隊在追查這起事件時，也大量借助 Claude 來分析海量資料。
不過這裡有個張力值得注意：同一個模型既可以用來攻擊，也可以用來防禦。Anthropic 的立場是，正因為 Claude 有這些能力，才更應該繼續開發並強化安全防護，讓防禦者追得上攻擊者的腳步。對產品開發者來說，這代表不該因為怕被濫用就停下代理式 AI 的開發，而是要把「防禦性使用」與「濫用偵測」都納入產品設計之中。
一個尚未解決的限制
報告裡有個細節值得留意：Claude 在攻擊過程中偶爾會「幻覺」憑證，或是把公開資料誤報成機密資訊。Anthropic 認為這仍是完全自主網路攻擊的一道障礙。對防禦者而言，這是一段短暫的喘息空間，卻同時是個警訊——只要模型在這些細節上變得更可靠，攻擊的自主程度就會再往上跳一級。
對正在打造代理式 AI 產品的開發者來說，這份報告最重要的教訓不是「AI 很危險」，而是「代理的行為邊界需要被主動設計」。你不能預設模型會因為訓練時的安全對齊而永遠拒絕惡意指令。攻擊者會持續找出新辦法來拆解任務、欺騙上下文、利用工具生態。真正的防線在於觀測代理的行為、限縮工具的濫用面，以及在偵測到異常時能迅速介入。