不可能，而不只是繁瑣（設計測試）

資料來源#

Zero Trust for AI Agents

摘要#

Zero Trust for AI Agents 對每一項控制都套用的一個設計審查問題：這會讓攻擊變得不可能，還是僅僅繁瑣？ 價值來自摩擦而非硬屏障的控制——額外的橫向移動跳數、速率限制、非標準埠、SMS-based MFA——在能以規模磨過繁瑣步驟的對手面前會急劇失效。這個框架之所以重要，是因為 agentic 攻擊者具有無限耐心且每次嘗試成本趨近於零：「這樣做太久、不值得」這類建立在人類假設上的判斷已不再成立。

通過測試的控制項模式#

通過測試的控制項共享一種結構特性——它們移除一項能力，而非節流它：

硬體綁定憑證（無法被竊取，而不只是難以竊取）
過期／短命 token（視窗會關閉，而不只是變窄）
密碼學身分（偽造在計算上困難，而不只是不便）
不存在的網路路徑，而非僅是不便穿越的路徑

框架的經驗法則：「有疑慮時，優先選擇移除能力的控制，而非節流能力的控制。」

應用場景#

此測試影響每一層級的建議，並在決策點明確出現：

Foundation 底線提高 —— 僅靠摩擦的控制（可從 lockfile 用 grep 掃出的長效 API 金鑰輪替、SMS MFA、速率限制）即使在入門層級也不再合格。
爆炸半徑評估（Phase 3） —— 「若你的圍堵計畫依賴摩擦……就假設它會失敗。」見 Blast Radius (Agentic)。
工具沙箱化（Phase 5） —— 「速率限制是摩擦，不是屏障：它們爭取時間，但無法阻止意志堅定的 agentic 攻擊者。」

源流與匯聚#

LLM-Driven Vulnerability Research 獨立提出相同論點，觀察到*「價值來自讓利用變得繁瑣的緩解措施，會在能以低成本磨過繁瑣步驟的模型輔助對手面前弱化，」* 而硬屏障（KASLR、W^X）仍然重要。兩個來源匯聚：攻擊性研究在實證上發現摩擦會衰退；安全框架將該發現轉化為規範性的設計測試。兩者皆下游自 AI-Accelerated Offense —— 每次嘗試成本趨近於零，正是 AI 加速帶給攻擊者的東西。

開放問題#

縱深防禦傳統上堆疊摩擦控制，理論上足夠多就能加總成屏障。此測試是否否定分層摩擦，還是僅將其排在能力移除之下？
某些控制對人類是摩擦、對代理卻是屏障（或相反）。此測試是否應相對於代理而定，在混合人類／代理威脅模型下如何評估？

資料來源#

Zero Trust for AI Agents —— 「設計測試：不可能，而不只是繁瑣」（原則部分）；在 Phase 3 與 Phase 5 及結語章節中再次出現

不可能，而不只是繁瑣（設計測試）

資料來源#

摘要#

通過測試的控制項模式#

應用場景#

源流與匯聚#

相關連結#

開放問題#

資料來源#