很多人看到「406 位科學家要求 AI 斷網」，會先想到所有 AI 服務是否都該離線。先界定倡議對象更重要：公開信談的是具網路攻擊能力的 AI 模型，主張開發、部署與測試時採高保障隔離，初期以氣隙隔離為預設。它沒有要求所有 AI 永久斷網，也不是現行法律。
產品團隊要判斷的，是連網後模型能使用哪些工具、憑證、主機與資料。盤點這些範圍，才能決定任務需要什麼連線，以及出錯時由誰介入。
一、406 位科學家的主張，範圍是哪些 AI 模型？
公開信建議開發、部署與測試具網路攻擊能力的 AI 模型採高保障隔離，並在初期預設使用氣隙隔離。倡議同時提出制定較高外部存取標準、追蹤隔離失敗事件與逐步公開事故資訊。
「具網路攻擊能力」是主張的範圍。它指向可能尋找漏洞、執行攻擊或操作網路系統的能力；一般問答或搜尋服務不會因此自動落在同一風險級別。公開信未列完整測量門檻，團隊仍須依模型能力與部署方式判讀。
公開信提出三項建議：高保障隔離並初期預設氣隙；由政府、AI 與資安專家共同建立國際機構，制定較高外部存取的隔離實務並追蹤失敗；隔離失效事件應通報，之後逐步公開以利學習與問責。機構設計、通報定義和執行權限仍待討論。
「我們認為，改進 AI 對齊以提升模型行為的可預測性，以及強化沙箱技術，兩者都需要。」這是公開信對近期隔離失敗事件所提出的判讀，將模型行為與系統防護並列處理。（AI 與網路安全科學界公開信，2026）
這封信是針對高能力模型的預防性倡議。406 位簽署者顯示參與規模，不能證明某種隔離設計較有效。公開信沒有比較氣隙、白名單和沙箱的實測成效。
二、連網風險怎麼形成？從模型能力追到系統邊界
風險取決於模型能力、可呼叫工具、網路出口、憑證與資料權限等條件的組合。只記錄「能不能上網」會漏掉它連線後能做的事，以及這些操作可以影響哪些系統。
一般問答若沒有外部工具，影響多在輸出內容；接上搜尋或資料庫後，系統可讀取外部資訊；若再接程式執行、雲端管理或寫入 API，便可能修改檔案、建立資源或觸發流程。工具、身分和資料讀寫權共同決定影響範圍。
AI 代理（AI agent）能按任務規劃步驟、呼叫工具並接收結果。若它遭提示注入或錯誤輸出影響，又持有超出任務所需的權限，錯誤便可能轉成外部操作。OWASP 稱之為「過度代理權限」，成因包括功能、權限或自主程度過高。
沙箱（sandbox）是限制程式或代理執行環境的隔離機制，名稱本身不代表防護完整。要檢查它能否阻擋未授權連線、檔案存取和主機操作，以及如何管理憑證。代理若能透過其他工具或服務帳號存取內部資源，只封住瀏覽器出口便不夠。
無須假設模型具有自主意圖，也能說明風險：錯誤指令、外部內容或不穩定輸出，都可能在高權限環境中造成越權。檢查應聚焦可觀察的條件：使用身分、工具、連線目的地、資料讀寫範圍，以及高影響動作的核准者。
這裡要先問一個更前面的問題：事故發生後，常見的檢討是「這次沙箱設定錯了」或「這個模型版本比較不穩定」，但單一設定或單一版本只是表面症狀。真正要追的是為什麼當初會讓一個工具同時擁有讀取、執行與寫入三種權限，而沒有人在設計階段把它拆開。原因通常不在模型本身，而在權限分配的流程：誰決定給哪個工具多少存取範圍、這個決定有沒有留下紀錄、下一次需求變動時是否重新審視。找到這一層原因，才能判斷該補的是沙箱技術，還是權限分配的審核機制。
三、隔離、限縮連線與開放網路各適合什麼任務？
可先分成完全隔離、限制出口與一般連網三層。任務越需要即時外部資料或實際操作，連線需求越高；可觸及資源及失誤後果越大，越需要縮小工具、身分與目的地範圍。
| 權限設計 | 適用情境 | 可用性與主要限制 |
|---|---|---|
| 完全隔離／氣隙 | 高風險能力評估、未公開模型測試、含敏感資料的封閉作業 | 外部網路路徑大幅減少；即時搜尋與外部服務整合受限，資料匯入匯出、人員操作及內部網路仍須管理 |
| 限制出口／目的地白名單 | 只需查核指定資料源、呼叫少數核准 API 的任務 | 能保留特定功能並縮小外連範圍；若只比對網域，未必限制 API 操作、帳號身分或可讀資料 |
| 一般網際網路存取 | 需要廣泛搜尋或多種外部服務、且經風險核准的低影響任務 | 整合彈性較高；外部內容、服務與連線對象增加，監控及事件處理負擔也會提高 |
例如，離線摘要工具可能只需讀取已匯入的文件；即時研究助理需要查詢公開網站，卻未必需要寫入網頁或下載執行檔；資安測試代理則可能需要特定網路操作，但應限定在明確授權的靶場。按任務拆分需求，比用「AI 需不需要網路」一題概括判斷更容易落實。
氣隙隔離指系統沒有直接連接外部網路，可移除一類外連路徑，但不會自動處理資料匯入匯出、可攜式媒體、管理介面和人員流程。若測試環境另有可連正式網路的主機，也要檢查檔案共享與管理通道。
白名單需要細到 API 路徑、操作、頻率、資料欄位與執行身分。只限制網域，若憑證仍可寫入整個資料庫，代理就持有超出讀取任務所需的權限。
「將 LLM 擴充工具獲得的權限限制在任務所需的最低程度。」OWASP 把最小權限列為降低過度代理權限風險的做法，並建議高影響操作加入人工核准。（OWASP GenAI Security Project，LLM06:2025）
團隊也要估算設計與維運成本。完全隔離可能需人工更新資料和搬運測試結果；白名單要維護目的地及操作規則；一般連網則增加外部內容與告警處理。權限核准、稽核、通報和復原演練都會占用資源。
四、產品團隊如何訂出 AI 網路權限判準？
先從任務必要性、模型能力、可觸及資源與失誤後果評估，再核發最低限度的連線及操作權限。權限應綁定任務和使用身分，並由系統端執行限制，不能只依賴模型遵守文字指令。
評估可先回答四個問題：
- 任務需要哪些外部資料或動作？寫清楚連線目的地、資料欄位、讀寫需求、工具呼叫和任務完成條件。若不需要即時資料，也不需要外部操作，預設不提供網路工具。
- 模型目前展現什麼能力？在代表性的提示、外部輸入和工具組合下測試其可能操作，並記錄模型版本、工具權限和環境配置。單次測試結果不能代表所有版本或情境。
- 它能觸及什麼資源？逐一盤點 API 金鑰、使用者身分、檔案、資料庫、雲端服務、內部網路，以及可被工具讀寫的內容。白名單若未同時綁定身分與資料範圍，仍會留下過寬的權限。
- 失誤會造成什麼後果？分別評估資料外洩、資料變更、服務中斷、資安測試誤觸正式目標等情況，再決定是否需要人工核准、隔離測試環境或停止條件。
除了能力與資源，權限的取得與收回成本也要算進評估。先開放再收緊，往往牽動既有流程、使用者習慣和已串接的下游系統，收回時阻力比想像中大；先給最小權限、再依實際使用情況逐步放寬，調整起來相對容易，也比較容易追到是哪一步讓風險變大。這個順序本身就是一種預防設計，不只是技術設定的先後問題。
接著把權限寫成具體規則：文件代理使用唯讀憑證並限讀指定資料夾；研究代理只查核准的公開資料源；資安測試模型使用與正式環境分離的靶場。規則應在 API 閘道、作業系統、雲端身分或網路層執行。
權限上線前檢查
- 列出每個任務必須連線的目的地、操作、資料欄位與使用身分。
- 先移除不必要的工具；對保留工具設定最低權限與明確的網路出口規則。
- 將測試資料和正式資料、測試環境和正式環境分開，並檢查所有資料匯入匯出途徑。
- 記錄模型版本、工具呼叫、連線目的地、核准者和操作結果，設置異常告警與立即停用方式。
- 指定例外權限的核准人、紀錄檢查人與事件通報負責人，並定期重看任務是否仍需要該權限。
這些責任要對應實際值班與系統操作。停止機制若需平台管理員介入，就要確認聯絡路徑和操作權限；涉及使用者資料時，也要讓資安、產品和資料治理負責人知道何時啟動通報。沒有指定角色的流程，在事故發生時很難及時執行。
紀錄有助稽核，不能取代預防性隔離、最小權限和停止機制。人工核准應放在高影響操作之前；事後查看紀錄無法撤回已發生的資料讀取或修改。
NIST 的 AI 風險管理框架以治理、情境盤點、衡量和管理風險為核心，採自願使用，並非網路權限法規。台灣產品團隊可把權限表、核准紀錄和事故責任納入既有資安與產品治理流程。
五、倡議要落地，還需要補上哪些治理條件？
需要先定義能力門檻、隔離失敗、獨立評估與事故通報責任，並比較不同控制方式在具體情境中的效果。公開信提出方向，沒有提供可直接套用的分類標準、測試程序或法規義務。
首先要界定「具網路攻擊能力」。若只按模型名稱或規模分類，會漏掉提示、工具、憑證和網路配置的影響。評估應涵蓋完整系統，記錄版本、工具、可達網路、身分權限與測試結果，重大更新後重新檢視。
其次是量測隔離效果。測試應說明威脅模型、情境、資料流、出口與成功條件，也要記錄例外路徑。只報告「沙箱通過」不足以重現結論。獨立評估還須明訂測試範圍、資料保護、利益衝突與結果揭露流程。
事故通報也須區分未遂事件、權限錯配、外部系統受影響和資料外洩，並說明時限、調查責任與可公開資訊。過早揭露可利用的技術細節會增加資安風險；只由企業自行選擇是否通報，則難以看見共通失效。制度細節仍待各方協商。
證據範圍也要說清楚。公開信回應研究者所稱的隔離失敗事件，並非比較三種網路設計的實證研究。測試結果會受版本、提示、工具權限、沙箱配置和環境影響；單一事件不能證明所有模型都能突破隔離，氣隙也無法消除所有風險。簽署人數以公開信頁面當時名單為準。
開發者可先挑一項 AI 任務，列出必要目的地與操作，再檢查能否用隔離、白名單和逐次授權完成。也要確認例外核准人、紀錄檢查人與緊急停止方式。若需更廣外連，留下理由、範圍、期限、補償控制和複核日期，定期依能力與風險調整。
- 公開信聚焦具網路攻擊能力的模型，倡議初期採高保障隔離與氣隙預設，尚未成為法律義務。
- 評估網路權限時，同時檢查模型、工具、憑證、資料與網路出口；網域白名單本身不等於最小權限。
- 依任務需要與失誤後果選擇隔離、限制出口或一般連網，並保留核准、紀錄、停止與通報流程。
常見問題
Q1：406 位科學家要求所有 AI 立即斷網嗎？
不是。公開信主張開發、部署與測試具網路攻擊能力的 AI 採高保障隔離，並建議初期以氣隙隔離為預設。範圍不等同所有 AI 服務。
Q2：氣隙隔離是否代表系統沒有任何資安風險？
不是。它能切斷一類外部網路路徑，但仍要管理資料匯入匯出、可攜式媒體、內部網路、憑證、管理介面和人員流程。
Q3：只使用網路白名單就足夠嗎？
通常還需要限制 API 操作、執行身分、資料範圍和工具功能。若只允許某個網域，代理仍可能持有超出任務所需的寫入或管理權限。
Q4：網路連線紀錄可以取代隔離或人工核准嗎？
不行。紀錄適合稽核與調查，應和最小權限、預防性隔離、高影響操作核准及立即停止流程搭配。
