摘要： Gartner 於 2026 年 4 月 9 日預測，到 2028 年有 25% 的企業 GenAI 應用每年會遇到至少 5 次小型資安事件，2025 年為 9%；2029 年遇到重大事件的應用比例將從 3% 升到 15%。報告將風險指向 MCP 加 agentic AI，並把同時具備敏感資料、不可信內容與對外通訊的情境列為禁區。
Gartner 在 2026 年 4 月 9 日公布一份預測：走到 2028 年，會有 25% 的企業生成式 AI（GenAI）應用，每年碰上至少 5 次「小型」資安事件——2025 年這個數字還只有 9%；再往後一年的 2029 年，每年至少發生一次「重大」資安事件的應用比例將達到 15%，而 2025 年只有 3%。
單看數字，其實不難預期；真正讓人注目的是 Gartner 指名的肇因：MCP（Model Context Protocol）加上 agentic AI 這個組合。換句話說，資安事件之所以被推到規模化，已經不是「模型不夠安全」這類舊議題，而是代理式架構主動把攻擊面攤開之後產生的新議題。
先把 25% 和 15% 看清楚
依 Gartner 的定義，「小型事件」指的是一年 5 次以上，涵蓋的樣態有資料暴露、內容注入攻擊、供應鏈威脅、敏感資料外洩與權限升級，其中多數來自「AI 想幫忙但出錯」的情境。從 9% 走到 25%，等於在說：不出三年，每四個企業 GenAI 應用裡就有一個落入「常態出事」的狀態。還有一點值得留意：Gartner 沒有替小型與重大事件劃出一條硬性的分界，區隔只靠發生次數的量級——這個處理方式本身就是線索：一旦事件多到淪為背景噪音，能不能自動化地分級與分診，會比一件一件慢慢查來得重要。
斜率更陡的是重大事件那條線：從 3% 爬到 15%，五年之間翻了五倍。Gartner 資深總監分析師 Aaron Lord 講得相當直接：MCP「首先是為互操作性、易用性與彈性而建，因此在缺乏持續監督時，安全錯誤可能浮現」。他也建議企業拉著資料、安全與基礎設施團隊一起，針對 MCP 使用情境建立正式的安全審查。
風暴的中心，為什麼偏偏是 MCP
AI 代理靠 MCP 掛上各式各樣的工具與資料來源，這套協議如今已是 agentic AI 部署的事實標準。問題在於，它當初是為了讓開發者跑得快而設計的，安全強制根本不在目標裡：工具描述這種東西本身就是不可信輸入，第三方 MCP 元件缺少審查機制，代理的權限又往往原封不動繼承人類用戶的角色。把 Gartner 點到名的事件類型——content injection、敏感資料外洩、privilege escalation——對回來看，幾乎條條都踩在上述路徑上。
所以真正的病灶不是哪一個元件壞了，而是元件疊起來的組合：一個代理若同時具備讀、寫與對外連線的能力，那麼每接入一個 MCP 伺服器，就可能多出一個會被誤用或被注入的介面。再看 MCP 生態目前的實況：伺服器清單一路快速變長，大部分交由第三方維護，企業內部卻往往找不到對應的擁有者，也缺一套審查流程——Gartner 主張的「領域導向擁有權」，補的正是這一塊。
三項能力疊在同一個情境，就是「禁區」
整份預測裡分量最重的判斷，是那條「no-go zone」：一個使用情境若同時擁有「存取敏感資料＋攝取不可信內容＋對外通訊」這三種能力，就直接劃進禁區——因為這三件事拼起來，恰好構成資料外洩需要的完整鏈路。設想代理讀進一份外部網頁（不可信內容），接著被其中的指令牽著走，最後把內部文件往外送——整個過程用不上任何進階攻擊手法，流程本身就是漏洞。
這條規矩最大的好處是能夠落實：設計審查時，產品與安全團隊只要逐項核對三個勾選框，不必再為個案的風險高低來回辯論。而現實中最容易越線的，多半是「幫我總結這封客戶來信並草擬回覆」這種看起來再平常不過的辦公請求——不可信輸入、敏感上下文、對外發送，三個條件一次全中。
工程與安全團隊能立刻著手的事
以下四個動作都取自 Gartner 的建議，可以照這個順序逐步落地：
- 替 MCP 使用情境建立正式的安全審查流程，先放行低風險模式，同時把高風險組合明確排除在外
- 代理必須持有自己的驗證與授權身分，權限不繼承自人類用戶，並收斂到最小範圍
- 針對已知威脅模式部署緩解措施，涵蓋 content injection 防禦，以及對第三方 MCP 元件的持續審查
- MCP 伺服器改採「領域導向擁有權」：guardrails 由領域專家預先定義好，客戶端一存取就落在安全的預設值上
Gartner 另有配套研究「Best Practices to Counter MCP Security Risks」，並預定在拉斯維加斯、東京與倫敦舉行的應用創新峰會上做深入討論。把這份預測跟 Redwood Research 的 AI 風險快照（見AI 風險快照）放在一起讀，會看到同一個走向：風險的重心正從「模型說錯話」挪到「代理做錯事」，而後者正好落在工程與安全團隊的管轄範圍裡——也就這樣被動變成每個導入 agentic AI 的產品團隊都得內建的工程成本。