三起事故，三個角色

AGENT＝肇事者 9/14–16 受理

西班牙首例 agent 個資外洩通報

agent 自行登入 → 搜尋漏洞 → 竄改個資 → 存取發票，全程無人介入；AEPD 成為全球首個以 agent 為行為主體受理事故的監管機關

AGENT＝受害者 9/17 揭露

Plugin4Shell 零點擊 RCE

外掛自動更新繞過 SHA pinning，可無聲換入惡意程式碼；同時影響 Claude Code／Codex／Copilot／Gemini CLI——前兩者已修補，後兩者截稿前未出補丁

AGENT＝武器 7 月事發、9/18 公開

三人白帽小隊用 Claude 打進 OpenAI

影像函式庫記憶體漏洞＋帳號接管，進入員工 ChatGPT 帳號；前代模型寫不出的 exploit，新模型上線幾小時就寫出——攻擊邊際成本崩跌

防守框架：三取二原則

Meta 2025/10 提出、西班牙 AEPD 2026/2 寫進監管指引：一個 agent 的三種能力，最多同時擁有兩種。

處理不可信輸入

讀網頁、收郵件、接外掛回傳——攻擊指令的入口

存取敏感資料

客戶資料庫、程式碼、金鑰——值得偷的東西

自主行動／對外通訊

寫檔、發請求、寄郵件——把東西送出去的手

A＋B＋C 全開＝事故只是時間問題（西班牙案的架構）

任兩項＝攻擊者少一個必要條件；三項都要 → 把人放回迴圈

民間框架 → 監管語言：4 個月

Meta 十月底發布，AEPD 二月即納入官方指引——採購條款化的前奏；agent 產品現在做進架構，一年後是競爭力不是成本