AI Agent 越來越強，但也開始接觸真正的企業權限

2025 年以來，Model Context Protocol（MCP）快速成為 AI Agent 生態系的重要標準。

過去，大型語言模型只能回答問題；如今，AI Agent 已經能直接操作各種工具，例如：

• Git Commit
• Git Push
• SSH 登入遠端主機
• 呼叫雲端 API
• 簽署程式碼
• 簽署電子文件

換句話說，AI 已經不只是聊天，而是開始替使用者「執行工作」。

然而，只要 AI 開始執行這些工作，就一定會碰到一個所有資訊安全工程師都非常熟悉的問題：私鑰（Private Key）到底放在哪裡？

為什麼私鑰如此重要？

如果把密碼比喻成家門鑰匙，那私鑰更像是公司的印章。

擁有私鑰，就代表可以：

• 偽造 Git Commit
• 偽造 API 身分
• 建立 SSH 連線
• 簽署重要文件
• 存取企業服務

因此，企業一直把私鑰視為最高等級的敏感資訊。

現在大部分 AI Agent 都怎麼保存私鑰？

研究整理了目前企業最常見的三種方式。

第一種：直接放在環境變數或設定檔

例如：

• .env
• ~/.ssh/id_rsa
• JSON 設定檔

這種方式最簡單，但也是風險最高。

只要 AI Agent 能讀取檔案，就有可能因為 Prompt Injection、惡意工具或權限設定錯誤而將私鑰外洩。

第二種：Secret Manager 或 Vault

不少企業會使用 HashiCorp Vault、Keeper Secrets Manager 等秘密管理系統。

這些工具確實改善了私鑰管理流程，但研究指出，它們仍有一個共同限制。

當 AI 真正需要進行簽章時，私鑰仍然必須被載入到程式記憶體（RAM）中。

也就是說，即使沒有存放在硬碟，只要攻擊者成功讀取記憶體，私鑰仍可能遭到竊取。

第三種：執行時注入（Runtime Injection）

另一種常見做法，是在 Container 啟動後才把私鑰注入記憶體。

這比直接寫入磁碟安全，但本質上仍沒有改變。

因為私鑰依然曾經存在於軟體可存取的記憶體中。

研究作者認為，這三種方式其實都有相同的結構性問題。

只要私鑰曾經存在於軟體記憶體，就存在被竊取的可能。

一起真實事件，讓問題浮上檯面

研究開頭引用了 2026 年初 OpenClaw 安全事件。

根據作者引用的資料，攻擊者透過 Email Prompt Injection，在不到五分鐘內便成功取得 AI Agent 所使用的私鑰，並結合遠端程式碼執行漏洞（RCE）進一步擴大影響。

這起事件也讓研究團隊提出一個根本性的問題：

如果 AI Agent 本身就是不能完全信任的執行者，我們是否還應該把最重要的私鑰交給它保管？

問題不是 Prompt Injection，而是架構

許多人第一時間想到的方法，是讓模型更安全。

例如：

• 更好的 Prompt
• 更好的 Alignment
• 更多安全規則

但這篇研究提出了不同觀點。

作者認為，真正的問題並不是 AI 是否會被騙，而是目前整個系統架構建立在一個危險的假設之上：

AI Agent 可以被信任來保管私鑰。

如果這個假設本身就是錯的，那麼再多的 Prompt Engineering，都無法真正解決問題。

下一篇：讓 AI 永遠碰不到私鑰

研究團隊因此提出一套五層 Zero Trust 架構。

它最大的特色不是讓 AI 更聰明，而是讓 AI 從頭到尾都沒有機會接觸真正的私鑰。

即使 AI Agent 遭到 Prompt Injection，攻擊者也無法直接取得關鍵憑證。

下一篇，我們將深入介紹這套五層 Zero Trust 架構，以及它如何利用 HSM、TPM 與 PKCS#11 建立新的 AI Agent 安全模型。

https://chip-insight-pulse.com/article/hardware-keystore-mcp-part2