滲透測試不敢上雲端，資安圈自己動手:「自架 AI 紅隊工作站」為何在美國社群爆紅？

一張滲透測試的授權書，通常載明了測試範圍、保密條款與資料處理限制。但過去兩年，資安工程師桌上多了一個新工具:ChatGPT 或 Claude。把客戶的內網拓撲、原始漏洞輸出貼進雲端模型，合約上沒寫，卻可能是最危險的一步。

9 月初，一篇標題為「我們打造了完全自架的 AI 滲透測試工作站」的貼文出現在 Reddit 的 Pentesting 版（https://www.reddit.com/r/Pentesting/comments/1wasc7f/we_built_a_fully_selfhosted_ai_pentesting/）。發文者直指要害:市面上每一套「AI 滲透測試」方案都有同一個致命傷——它把客戶的漏洞資料送上託管模型。

他們的解法是自己動手:一個中央平台（含 MCP 與網頁介面）、本地端 LLM，再以 Claude Code 或 OpenCode 作為操作框架。整套系統不出企業防火牆。

紅線不是效能問題，是合約問題

發文者宣稱，這套架構已實際運行一段時間。貼文沒有附上效能 benchmark，也沒有商業化計畫——這反而說明了一件事:這不是產品展示，是剛性需求的自我救濟。

資安服務的本質是「客戶把最脆弱的一面交給你」。滲透測試產出物——未修補的 CVE、內網憑證、橫向移動路徑——每一項都是攻擊藍圖。送進第三方 API 等於把這份藍圖交给一個資料治理透明度有限的對象。對乙方資安公司而言，這不是風險偏好問題，是執業資格問題。

自架生態已經長出自己的骨架

這篇貼文不是孤立事件。同一週，Hacker News 上出現了 Notifkit，一套自架的通知基礎設施，原生支援 MCP（https://github.com/devkitshq/notifkit）。Reddit 的 LocalLLaMA 版則有人釋出 Eidon——單一 Docker 容器打包聊天、代理、自動化與工具鏈，相容 Ollama 與 LM Studio，採 AGPL 授權（https://www.reddit.com/r/LocalLLaMA/comments/1w8asps/eidon_an_allinone_selfhosted_ai_platform_chat/）。LinuxTeck 也整理了七套本地 AI 工具，從 Ollama、Aider 到 LocalAI（https://www.reddit.com/r/LinuxTeck/comments/1w9vjno/7_ai_tools_for_linux_users_local_selfhosted/）。

把這些拼起來，一個模式浮現:MCP 正在成為自架 AI 的通用介面標準，讓本地模型能安全地呼叫工具與存取資料，而不必經過任何雲端中繼。滲透測試只是這個架構最極端的試煉場——連它都能自架，一般的企業內部自動化更沒有理由做不到。

對台灣:代工思維遇上主權 AI

台灣的軟體產業結構裡，為歐美客戶做系統整合與資安檢測的比重不低。這些客戶的合約，往往明文禁止敏感資料出境或使用特定地區的 AI 服務。當「AI 輔助開發」從加分項變成標配，台灣的接案團隊遲早要回答一個問題:你的 AI 工具鏈，資料落在哪裡？

自架路線的成本不低——本地推論需要 GPU、需要維運人力。但對資安、醫療、金融這些受管制的行業，這不是成本取捨，是准入條件。發文者選擇開源框架（Claude Code/OpenCode 皆為可自架的工具）而非商用 API，正是把「資料主權」寫進了架構本身。

三種情境值得追蹤。樂觀情境:MCP 生態成熟，自架 AI 的維運成本降到中小團隊可負擔，台灣出現專門的「主權 AI 整合服務」供應鏈。基準情境:自架與雲端並存，企業按資料敏感度分流。悲觀情境:本地模型的工具呼叫能力持續落後雲端旗艦模型，工程師在合約與生產力之間被迫灰色地帶作業——貼文裡那句「每套方案都有同樣的致命傷」，就是這個情境的註腳。

反方論點也必須誠實面對:發文者宣稱的「已實際運行」，未經第三方驗證；本地模型的實際滲透測試能力，可能遠不如貼文暗示的水準。自架也解決不了內部威脅與模型本身被誤導的問題。這篇貼文的價值或許不在於它展示了多強的 AI，而在於它標出了產業的一條底線——而底線，通常是市場形成的起點。