【Day 19】AI 供應鏈的三層風險地圖

2026 iThome 鐵人賽

DAY 19

IT Operation

給決策者的 30 堂 AI 素養課系列第 19 篇

18th鐵人賽

beckiefang

2026-09-19 03:07:15

77 瀏覽

分享至

合約上只有一家廠商的名字，或者根本沒有廠商，整套都是內部開發的。可是這套 AI 跑起來的時候，替你做事的遠不只那一家。
前五天講的都是公司裡發生的事：員工早就在用、資料流出去、記憶洗成事實、被指令控制、權限沒框好。今天是風險系列的最後一篇，方向反過來：組成你 AI 生產力的那些元件，有多少在公司外面？Day 14 問的是員工在用什麼，今天問的是公司外面有多少東西在替你做事，兩件事是同一個形狀的兩端。

你簽約的供應商，就是全部嗎？

Day 6 講過，AI 能做到什麼取決於它碰得到什麼。而它碰得到的那些，多半不是你自有的。組成你 AI 生產力的元件，可以分成三層。
第一層是你直接簽約的：模型商、雲端、SaaS、知識庫服務商、寫程式用的 AI 助理。第二層是團隊拿來用、但沒有合約的：開源框架、模型閘道、下載來的開源模型、套件。第三層是 AI 跑起來自己接上的：agent 自己裝的套件、當下載入的技能、提示模板與工具說明、讀進來的外部網頁。OWASP Agentic Top 10 的 ASI04 Agentic Supply Chain Vulnerabilities（代理式供應鏈弱點）把重點放在第三層：agent 的能力是執行的時候才組合起來，安全的著眼點要從清單移到執行當下。
外包的公司以為只跟一家買，看得到第一層；自建的以為整套是自己的，看得到第一層和第二層的一部分。第三層兩邊都容易漏掉，因為它不會自己走進採購流程。

第一層：你驗收過的 AI，明天還是同一個嗎？

裝在自己機房的軟體要不要升級是你決定的，AI 模型什麼時候退役是模型商決定的。OpenAI 寫正式版模型至少提前六個月，Anthropic 寫至少六十天。SaaS 廠商換底層模型更安靜，你的系統某天行為變了，而你不會收到通知。
簽了約也不保證交到你手上的一直是同一個。去年七月，Amazon 自家的開發助理 Amazon Q Developer，VS Code 外掛有個版本被塞進一段指令，叫 AI 清空本機檔案和雲端資源，幾千人裝了六天才被抓到。那次沒真的跑起來，是因為指令寫錯了。你驗收的是上一版，自動更新後跑的是下一版。
再來是一起停。去年十月 AWS 在北維吉尼亞停了將近十五個小時，十一月 Cloudflare 停了將近六個小時，兩次都是自己的系統出錯，不是被攻擊。今年九月換成模型商：九月三號 OpenAI 的 ChatGPT 和 Codex 大範圍出錯兩個多小時，Anthropic 的 Claude 今年也中斷過好幾次。這不是資安題，是營運韌性。你、你的導入商、你的客戶可能上游都是同一家，最上游出事就一起停，這就是集中度風險（concentration risk）。歐盟的數位營運韌性法（DORA）第二十九條要金融機構簽約前先算這一家換不換得掉，NIST AI RMF 的 GOVERN 6 說的也是這一塊。

第二層：你的團隊拿來用的東西是誰在維護？

開源軟體也是供應商，只是你跟它之間只有授權條款，沒有人對你負有告知或維護的義務。改版不通知你，停止維護不通知你，被駭了也不通知你。OWASP LLM Top 10 的 LLM04:2026 Supply Chain（供應鏈）列的風險例，過時退役的元件、授權沒管好、被動過手腳的模型、來源無法證明的模型檔，都在這裡。
套件還會被憑空造出來。AI 助理會幻覺出不存在的套件名，攻擊者先把那個名字註冊起來，等人照著建議裝下去，這就是 slopsquatting。
你也數不到上面有幾層。今年三月，攻擊者先發出一個植入後門的 Trivy，那是一套開源的資安掃描工具。後門在 LiteLLM 的 CI 裡跑過一遍，帶走 LiteLLM 的發布權杖，接著發出兩個植入後門的 LiteLLM 版本。LiteLLM 是幾十個 agent 框架共用的模型閘道，那兩版在架上只有三個小時，下載了將近四萬七千次。而它為了替你呼叫各家模型，手上握著每一家的金鑰。風險疊在同一個地方，但合約上看不到。

第三層：agent 替你做事的時候，還做了什麼？

安裝鎖得住版本，鎖不住的是裝好之後還會變的那些：工具說明、載入規則、抓回來的資料。
MCP 多半是別人寫的工具，接進來的時候你看過說明。可是它每次被呼叫做什麼，會拿回什麼資訊，是執行當下決定的。而那份寫給 agent 看的說明，對方隨時可以換掉，換了不必動一行程式，你也不會收到通知。去年五月研究者在 GitHub 官方的 MCP 上示範過：agent 讀到公開專案一張藏了指令的 issue，就用同一組權杖轉去讀私有程式庫。沒有另外安裝任何套件，MCP 也早就已經裝好驗過的。
寫程式的 agent 還會自己裝套件。去年八月 npm 上很常用的 nx 被投毒，惡意程式叫本機已經在的 AI 助理幫它找出敏感檔案，帶走 SSH 金鑰和各種權杖。
這些東西是 agent 做事的當下才接上去的，採購沒看過，資安也沒看過，多半只有接的那個人知道為什麼接。

對經營者意味著什麼：合約上那一份名單最短

三層攤開來，合約上那一份名單最短，跑起來實際接上的那一份最長。哪一層接了什麼，CTO 可以幫你盤；承不承受得住，只有經營者答得出來。
這六天講完，你手上大概有一張清單，有幾條治理處理得掉，有幾條不是。處理不掉的誰來決定承受多少，不在合約上卻替你做事的誰來看，這些後面會談。

要拿走的問題

執行層（CTO／採購）：挑一套正在跑的 AI，往上、往外數：它實際接了哪些不在合約、也不在採購單上的元件？其中一個變了，我們會從哪裡知道？
經營層（董事會／CEO）：合約上那份名單有多長，實際在供應鏈上的那份有多長？最上游是哪幾家？萬一停掉，哪些風險是我不能承受的？
一句話帶走：合約上的名單最短，跑起來實際接上的那一份最長，而只有一份是由你決定的。