AI 工具已經從瀏覽器，
跑進你的電腦裡了
為什麼現在很紅：某個熱門 MCP server 被發現有惡意版本，IT 想知道公司有沒有人裝了它，卻發現沒有任何方法可以查。
- 一句話結論
- AI 工具已經從瀏覽器聊天視窗跑進員工電腦：編程工具在本機執行指令、MCP server 在背景運作，權限等同使用者本人。
- 他要的是什麼
- 他不必入侵你的雲端服務。發布一個看起來好用的 MCP server，等工程師自己裝上，它就用工程師的權限讀得到整個專案目錄和設定檔裡的金鑰。
- 你今天做一件事
- 今天就用 Gitleaks 或 TruffleHog 掃一次自己電腦上 AI 工具的設定目錄，看裡面有沒有明文金鑰。 直接去做 →
- 哪些能信
- 2 可證明2 推論1 缺口 每個主張都標了等級，缺口是誠實寫出來的。
- 破口速查
- 受害端一律去識別化；寫「未公開」代表公開資料查不到。
- 伺服器服務商
- 不適用（示意情境；涉及的是工程師的本機電腦與安裝在上面的 AI 工具）
- 網路服務商
- 不適用（同上）
- 漏洞出現的地方
- 端點與管理層：AI 編程工具與 MCP server 在本機以使用者權限執行，來源多半沒經審查；串接服務的 API 金鑰明文寫在設定檔裡；雲端 SaaS 的盤點方法抓不到本機安裝的工具
- 馬上自我檢測
請工程師列出自己使用的 AI 工具、MCP server、擴充功能與來源 gitleaks dir ~/.config（換成各 AI 工具實際的設定目錄，唯讀掃描） trufflehog filesystem ~/.config（同上，唯讀掃描） 確認 AI 工具的工作目錄是否限定在專案目錄，而不是整個家目錄- 漏洞修補方式
- 請工程師自我申報 AI 工具與 MCP server；整理已核准工具與來源清單，新工具先申請；用 Gitleaks 或 TruffleHog 掃描設定目錄，找到的金鑰移出並輪換；AI 工具只在專案目錄執行、危險指令需確認；給 AI 工具專用低權限憑證；事先準備全公司快速查詢流程
有 15 分鐘再看：其餘 2 點
- 這些工具多半沒經審查，設定檔裡常明文寫著 API 金鑰，而雲端 SaaS 的盤點方法抓不到本機安裝的東西。
- 工程師十人左右的話，自我申報、核准清單、用 Gitleaks 或 TruffleHog 掃設定檔，就能建立基本可見性；要持續掌握全公司，才需要端點層級的工具。
AI 編程工具在本機執行指令，MCP server 在背景運作，代理可以讀寫檔案、呼叫 API。這些東西跑在員工電腦上，不在 IT 看得到的雲端服務清單裡。這篇講本機影子 AI 怎麼盤點、設定檔裡的金鑰怎麼收。
本篇目錄
查不到的那個 MCP server
一兩年前，大部分員工用 AI 是在瀏覽器裡開一個聊天視窗。現在不一樣了：AI 編程工具在本機執行指令，MCP server 在背景運作，AI 代理可以讀寫檔案、呼叫 API、操作其他程式。這些東西都跑在員工的電腦上，而不在 IT 看得到的雲端服務清單裡。
先說清楚，以下是示意情境，不是真實事件，公司與經過都是為了說明而設。假設有一家二十五人的軟體公司，工程師們各自安裝了幾種 AI 編程工具和好幾個從網路上找來的 MCP server，有的會讀取整個專案目錄，有的設定檔裡直接寫著 API 金鑰。某天一個熱門的 MCP server 被發現有惡意版本。IT 想知道公司有沒有人裝了它，卻發現沒有任何方法可以查。
這篇要講的只有一件事：影子 AI 已經不只在雲端，也在每台電腦裡。
本機 AI 工具，風險在哪裡
第一層是權限等同使用者。AI 工具在本機執行，它能讀寫的範圍，就是使用者能讀寫的範圍；使用者的家目錄裡有什麼，它就碰得到什麼。
第二層是第三方擴充來源不明。MCP server（讓 AI 工具連上外部資料與功能的小型服務）、外掛、擴充功能，多半沒經過任何審查，是工程師在網路上找到、覺得好用就裝了。
第三層是設定檔裡的金鑰。為了串接服務，金鑰常被明文寫在設定檔裡，和工具放在同一台電腦上。
最後是看不見。雲端 SaaS 的盤點方法，例如帳單和 OAuth 授權清單，抓不到本機安裝的工具。OWASP 的 LLM 應用風險清單也提醒，代理被賦予過多功能、權限或自主性時，可能因提示注入或被入侵的擴充而採取有害行動。
這篇示意情境裡，有哪些鑰匙放在明處
這是示意情境，沒有實際外洩；下表列的是本機 AI 工具最常碰得到、而且最常被明文放置的憑證，讓你知道一個惡意 MCP server 裝上之後，手邊有什麼。
| 服務 | 憑證類型 | 用途 | 存在形式 | 放在哪 | 權限範圍 | 狀態 |
|---|---|---|---|---|---|---|
| AI 工具串接服務用的 API 金鑰 | API 金鑰（明文） | 讓 AI 工具或 MCP server 呼叫外部服務 | 明文寫在 AI 工具或 MCP server 的設定檔裡 | 工程師的本機電腦 | 依金鑰所屬服務而定，示意情境未說明 | 示意情境；未移出並輪換前持續有效 |
| 工程師本人的其他憑證（例如雲端或程式碼平台的金鑰） | 未公開：依工程師電腦上實際存放的而定 | 工程師日常工作 | 家目錄中的設定檔或環境變數 | 同一台電腦，AI 工具能讀得到的範圍內 | 未盤點 | 未公開：沒人查過每個工具能存取哪些目錄和憑證 |
兩列的共同點是：金鑰放在 AI 工具伸手就拿得到的地方，而沒人知道那台電腦上裝了哪些工具。
能證明的、只能推論的
這篇是觀點文，情境是示意的，所以能證明的只有官方文件與專案頁寫明的內容；情境裡的經過只能算推論。
不花錢就能做的流程
到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的六步流程。
第一步，自我申報。 請工程師列出自己用的 AI 工具、MCP server、擴充功能，以及它們的來源。目的是可見性，而不是處罰。
第二步，核准清單。 從申報結果整理出「已核准」的工具和來源，新工具要先申請。
第三步，掃描設定檔裡的金鑰。 用 Gitleaks 的 dir 指令或 TruffleHog 掃描 AI 工具的設定目錄，找到的金鑰移出並輪換。
# 唯讀掃描：把路徑換成你電腦上各 AI 工具實際的設定目錄
gitleaks dir ~/.config
trufflehog filesystem ~/.config
第四步，縮小工作範圍。 AI 工具只在專案目錄中執行，不要給整個家目錄；危險指令設定為需要確認。
第五步，給 AI 工具專用的低權限憑證。 不要讓它使用工程師本人的管理員金鑰。
第六步，有事件時的查詢流程。 先準備好「如何快速查詢全公司是否裝了某個工具」的方法，即使只是一封全員信加上回覆表單。
什麼時候不需要買工具
工程師在十人左右的話，自我申報加核准清單和設定檔掃描就能建立基本可見性。需要不依賴人工回報、持續掌握全公司裝置上的 AI 工具時，才需要端點層級的工具。
真的要看工具，市面上大致分四類。開源掃描器如 Gitleaks、TruffleHog，找出設定檔裡的金鑰。開源裝置管理如 Fleet（原始碼公開的裝置管理平台），可以用來盤點裝置。MDM 或端點偵測回應（EDR），例如 Microsoft Intune 等 MDM，或各家 EDR 產品的軟體盤點功能。商用裝置信任類產品可以在登入時檢查裝置狀態，部分廠商開始加入本機 AI 工具的偵測；例如 1Password Device Trust 的英文產品頁目前列出「AI 與密鑰探索」功能，說明是找出代理式 AI 服務和憑證蔓延的風險，但推出日期未在頁面上註明，具體能偵測哪些工具也沒有詳列。
限制也要一起看：本機 AI 工具更新很快，偵測規則容易落後；盤點需要在裝置上安裝代理程式；知道「裝了什麼」之後，還是要有人判斷能不能用。選的時候問三件事：已經有 MDM 或 EDR 的話，先看它們的軟體盤點能做到多少；工程師比例多高（工程師越多，本機 AI 工具越多）；事件發生時需不需要幾小時內查完全公司（需要的話，就要集中查詢能力）。第三項，就是這個情境缺的那一塊。
這篇提到的項目要花多少錢
這篇的方法以人力和開源工具為主，原文沒有任何產品牌價，表裡的金額大多是估算或未公開，照實標出來。
| 項目 | 用量 | 單價 | 期間 | US$ | NT$ | 舉證 |
|---|---|---|---|---|---|---|
| 工程師自我申報與整理核准清單 估 | IT 一人＋每位工程師約 15 分鐘 | 估 4 小時 | 一次性 | — | — | 本站依六步流程估算 |
| 設定檔金鑰掃描與輪換 估 | 每位工程師 | 估 30–60 分鐘／人 | 一次性，之後定期 | — | — | 本站估算，依找到的金鑰數量而異 |
| Gitleaks／TruffleHog 估 | 開源掃描器 | 開源，商用方案價格原文未列 | — | 0.00 | 0 | 原文只寫明為開源工具 |
| MDM／EDR 軟體盤點、商用裝置信任 | 依人數 | 未公開牌價，需洽詢 | 年約 | — | — | 原文未列價格 |
| 合計（僅可證明列） | 0.00 | 0 | ||||
最貴的不是工具，是惡意版本消息出來那天，花一整天寄信問「有沒有人裝了這個」。
你可以學到什麼
站在攻擊者那一側看，本機 AI 工具是一條直接通往工程師家目錄的路。他不必找你的雲端漏洞，只要發布一個看起來好用的 MCP server 或擴充，等工程師自己裝上；工具以工程師的權限執行，設定檔裡的明文金鑰就在旁邊。最難防的地方在於，公司連「誰裝了」都查不到。
- 01AI 編程工具與 MCP server 在本機以使用者的權限執行，使用者能讀寫的範圍，就是它們能讀寫的範圍。
- 02雲端 SaaS 的盤點方法抓不到本機安裝的 AI 工具，本機影子 AI 要另外靠自我申報或端點盤點來看見。
- 03AI 工具設定檔裡的明文金鑰可以用 Gitleaks 或 TruffleHog 掃出來，找到的要移出並輪換。
- 04AI 工具只在專案目錄中執行、危險指令需要確認、使用專用的低權限憑證，能把一個惡意擴充的影響範圍縮小。
- 05事件發生前就要準備好「全公司是否裝了某個工具」的查詢方法，即使只是一封全員信加上回覆表單。
- 01影子 AI（Shadow AI）這篇的主角：不在 IT 清單上的 AI 工具，現在多半裝在員工自己的電腦裡。
- 02MCP server讓 AI 工具連上外部資料與功能的元件，來源多半沒經審查，是這個情境的破口。
- 03AI 編程工具在本機執行指令、讀寫檔案，權限等同工程師本人。
- 04設定檔中的明文金鑰為了串接服務而寫在設定檔裡的金鑰，是惡意擴充伸手就拿得到的東西。
- 05Gitleaks（gitleaks dir）掃描本機目錄找金鑰的開源工具；要知道它目前只發布安全修補。
- 06TruffleHog另一個開源金鑰掃描器，可以掃檔案系統，和 Gitleaks 互相對照。
- 07過度代理（Excessive Agency）OWASP 對「代理權限太大、被入侵的擴充就能採取有害行動」的命名。
- 08已核准工具清單從自我申報整理出來，讓新工具先申請、再安裝。
- 09低權限專用憑證AI 工具不用工程師本人的管理員金鑰，被入侵時損失才有上限。
- 10端點軟體盤點不依賴人工回報、持續知道每台電腦裝了什麼的那一層，MDM、EDR 或 Fleet 都在做。
全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。
- 列出自己電腦上安裝的 AI 編程工具、MCP server 與擴充功能，寫下各自的來源（不用指令）看到什麼代表什麼：有任何一個你說不出是從哪裡裝的，就是這篇說的來源不明。整理成一份「mcp-roster-u6.md」，第二步的核准清單就從它長出來。
- 用 Gitleaks 唯讀掃描 AI 工具的設定目錄
gitleaks dir ~/.config看到什麼代表什麼：回報 leaks found 代表設定檔裡有明文金鑰；把路徑換成各 AI 工具實際的設定目錄再掃一次。 - 用 TruffleHog 唯讀掃描同一個目錄做對照
trufflehog filesystem ~/.config看到什麼代表什麼：兩個工具都找到的金鑰最優先處理：移出設定檔，並到該服務輪換。 - 檢查每個 AI 工具的工作目錄設定，是限定在專案目錄還是整個家目錄（唯讀，看設定）看到什麼代表什麼：設成家目錄的話，工具讀得到你電腦上所有的設定檔與金鑰。
- 問自己：如果明天某個 MCP server 被公告有惡意版本，你要怎麼在一小時內知道公司誰裝了（不用指令）看到什麼代表什麼：答不出來，就是這個情境裡 IT 卡住的地方；先準備一封全員信加回覆表單也算數。
揭露：本文未受任何廠商贊助，提及的產品僅為舉例。
環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 7 分鐘。
來源
本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。
本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。
複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。
預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。
M1 陌生區域盤點 · 想在自己的環境做一次同樣的盤點，從 自我盤點 開始。
每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。