拿掉安全圍欄的「開源模型」，可能正在偷你的金鑰:AI Coding Agent 的供應鏈信任危機

資安研究人員示範將開源模型「去安全化」後植入後門，能在編程代理中竊取憑證。這不是單一漏洞，而是 AI 供應鏈信任模型的結構性破口——對高度依賴開源模型降低成本的台灣軟體圈尤其切身。

一個開源模型被「打開腦殼」改造後，可以在你的編程代理裡悄悄偷走 API 金鑰。資安公司 Project Discovery 的研究團隊近日發表實測，展示所謂「abliterated models」（移除安全對齊的開源模型）如何被植入後門，並透過 Hacker News 引發社群討論（來源:https://projectdiscovery.io/research/how-abliterated-models-can-get-you-pwned）。

對台灣讀者，這條新聞的重量不在國外，而在內湖、南軟與無數新創的開發環境裡。

拿掉圍欄的模型，成了最方便的攻擊載體

先講清楚名詞。Abliteration 是一種後處理技術:不重新訓練模型，而是直接調整模型內部拒絕有害請求的權重方向，讓它「不再說不」。社群用這招讓開源模型擺脫過度保守的內容審查，用於創作、研究等正當用途。

問題來了。這類模型的權重是被人為修改過的二進位檔，使用者幾乎無從驗證改了什麼。Project Discovery 的研究指出，攻擊者可以在這個過程中一併植入觸發式後門——模型平時表現完全正常，只在使用者透過 AI 編程代理處理特定任務時，將環境變數中的憑證外傳。據該研究報告的示範，竊取行為可以包裝成看似正常的套件安裝或指令執行，開發者極難察覺。

為什麼編程代理是完美的攻擊面

這裡的結構性問題比單一後門更值得拆解。AI 編程代理是當前企業採用最快的工作流自動化工具，而它的設計前提是:模型可以讀你的程式碼、執行 shell 指令、存取環境變數。換句話說，開發者親手把憑證管理權交給了一個黑盒子。

可驗證性正在成為顯學，恰恰因為信任已經破了。

而社群的誠實也值得參考:另一個 Reddit 討論串（https://www.reddit.com/r/AI_Agents/comments/1wu2d7b/what_is_an_ai_agent_that_changed_your_life_for/）中，多數留言者承認自己還沒遇過真正改變生活的代理——大眾對代理的信任基礎本就薄弱，此時爆出模型層後門，等於在搖晃的地基上再抽一根柱子。

台灣的切身風險:成本壓力遇上供應鏈漏洞

台灣軟體團隊普遍面臨預算壓力，採用 Hugging Face 上的免費開源模型、自架推理服務，是常見的降本路徑。abliterated 模型因為「更聽話、更少拒答」，在實務上反而受工程師歡迎。

這正是風險所在。傳統資安掃描針對程式碼與套件，模型權重檔不在既有防線內。一家公司可能有嚴格的 SBOM（軟體物料清單）管理，卻對下載的十幾 GB 權重檔毫無查驗機制。雲端 API 至少有供應商信譽與稽核責任；來路不明的改造模型，連求償對象都沒有。

三個情境，三種結局

基準情境:企業逐步建立模型來源白名單與憑證隔離（代理僅能透過代理層存取金鑰），風險被控制在早期採用者圈內。樂觀情境:社群發展出權重簽章與可重現的模型稽核工具，「模型物料清單」成為標配。悲觀情境:一次大規模憑證外洩事件後，監管倉促介入，開源模型企業採用倒退一年以上。

這套分析哪裡可能站不住

首先，Project Discovery 是資安公司，揭露攻擊手法本身有商業動機，實測的攻擊成功率與偵測難度需要第三方重現驗證。其次，多數企業的憑證外洩仍源自傳統管道（釣魚、設定錯誤），模型後門短期內可能只是長尾風險。最後，若主流編程代理框架迅速內建沙箱與密鑰代理層，攻擊面會大幅收縮。

但方向很難辯駁:當模型成為供應鏈的一環，資安的邊界就必須跟著移動。下一個問題是——你的團隊，知道現在跑在內部的那個模型，是誰改過的嗎？