Mythos 來不要慌，ISMS + ISO 幫你扛？聊聊在 AI exploit 時代裸奔的體驗

Claude Mythos 是 Anthropic 釋出的預覽版本，定位在具備更強推理能力與多步驟執行能力（agentic，自主代理能力）的語言模型，能夠在較少人工介入的情況下完成複雜任務。這類模型的能力邊界比過去的對話型 AI 更寬，因為它不只是回答問題，而是能夠規劃步驟、呼叫工具、操作介面、讀寫資料。能力愈強，攻擊面也跟著變大。

這不是說 Mythos 本身有設計缺陷，而是說：當一個 AI 系統具備執行動作的能力，它所處的環境就成了一個新的風險層。

傳統 AI 系統的攻擊面是相對有限的，多半是模型輸出被濫用，或是 API 接口被暴力嘗試。但具備 agentic 能力的模型，引入了幾個以前不存在、也沒有被現行資安標準具體覆蓋的攻擊向量：

Prompt injection（提示詞注入）：攻擊者把惡意指令藏在模型的輸入來源中（如網頁、文件、資料庫），讓模型在不知情的情況下執行預期外的行為。這是目前針對 LLM 應用最常見也最危險的攻擊手法。

Indirect instruction hijacking（間接指令劫持）：透過讓模型存取的外部資源，置入偽裝成正常內容的惡意指令。常見於 RAG（Retrieval-Augmented Generation，檢索增強生成）架構中，當知識庫或外部文件被污染，模型的推理就會被劫持。

工具呼叫濫用（tool misuse）：當模型被授權可以呼叫 API 或執行系統指令，攻擊者可以誘導它呼叫本不應被觸發的介面，甚至透過模型行為側信道推斷系統設計。

資料滲漏（data exfiltration via model output）：利用模型的推理能力，誘導它在正常回應中夾帶本不該揭露的敏感欄位組合，讓資料以看似合理的格式被外洩。

這四類攻擊路徑都有一個共通特點：攻擊入口不是程式碼漏洞，而是模型的推理行為本身。這讓傳統的程式碼審查、防火牆規則、邊界防護邏輯，都失去了作用。

ISMS（Information Security Management System，資訊安全管理系統）是一套組織層面的管理框架，目的是系統化地識別、評估、控制資訊安全風險。ISO 27001 是目前全球主要的 ISMS 認證標準，由 ISO（國際標準化組織）與 IEC 共同制定；CNS 27001 則是台灣依 ISO 27001 翻譯制定的國家標準，由經濟部標準檢驗局（BSMI）公告，技術要求與 ISO 27001 高度一致，差異主要在語言和本地化適用情境。

不是。 ISMS 認證是管理流程的認可，不是技術防護能力的保證。一個通過 ISO 27001 認證的組織，如果在引入 AI agent 系統時沒有針對性地更新威脅評估，它在 AI exploit 面前的防護能力，跟沒有認證的組織差距不會很大。

這裡有一個更根本的問題要先定義清楚：AI exploit 的攻擊路徑，和傳統資安事件的攻擊路徑，在結構上不同。

傳統攻擊的起點通常是：掃描系統邊界、尋找未修補的漏洞、嘗試未授權存取。這些攻擊路徑相對固定，防護邏輯也相對清楚。

AI exploit 的起點可能是：一段看起來無害的使用者輸入、一份經過污染的 RAG 知識庫、一個透過模型推理被繞過的業務邏輯。這類攻擊不走固定路徑，因為它的武器是模型的推理能力本身。

問題的根本原因在這裡：AI 系統的攻擊面不是靜態的，而是動態的。每一次模型推理都是一次潛在的攻擊入口，因為推理過程本身是輸入驅動的。這讓「邊界防護」思維失效，因為邊界根本無法被固定下來。

在引入 Mythos 這類強 agentic 能力模型的實際場景中，常見問題分布如下：

使用者輸入層的提示詞注入：使用者在對話中嵌入讓模型忽略系統指令的提示，導致模型輸出超出預期範圍的內容，例如揭露系統提示的設計或繞過輸出限制。

外部資料來源的間接污染：模型在 RAG 流程中讀取了被篡改的文件，導致推理結果偏離，甚至被誘導輸出攻擊者預期的回應。

過寬的工具呼叫授權：模型被授權可以讀取特定資料庫，卻在被誘導的情況下提取了本不應揭露的欄位組合，或觸發了本不應被呼叫的 API 端點。

缺乏有效的輸出審計機制：模型的回應沒有被記錄和審查，導致異常輸出在事後無從追蹤，也無法納入 ISMS 的事件管理流程。

這些問題不是 ISO 27001 的控制措施不能管，而是它現有的控制措施細緻度，在 AI 系統這一層還不夠。更直接地說：風險登錄冊（Risk Register）如果沒有把提示詞注入、模型授權過寬列為威脅類型，ISMS 的審查流程就不會覆蓋到它。

不是丟掉 ISMS，而是在 ISMS 框架上疊加 AI 特有的控制層。 ISMS 提供的系統化管理流程本身是有價值的，問題是它的風險識別輸入清單需要針對 AI 系統做延伸。OWASP LLM Top 10 和 NIST AI Risk Management Framework（AI RMF）是目前最具參考性的補充框架，可以直接作為 ISMS 風險評估的延伸輸入，而不需要重建整個管理體系。