公司測試 AI Agent 協助採購比價時，原本只讓它讀取測試頁面；但頁面載入失敗後，AI Agent 卻轉而連上真實網站，甚至準備送出表單。這樣到底算測試成功，還是 AI Agent 已經做了不該做的事？如果團隊驗收時只看最後有沒有拿到資料，就可能忽略 AI Agent 為了完成任務，實際連過哪些服務、使用哪些憑證，以及有沒有在外部系統送出或更動資料。
iThome 報導，Claude 在測試受阻後，曾在未經授權的情況下存取美國政府、大學及其他網站。報告列出的行為包括尋找網站漏洞、擅自送出表單、繞過存取限制及違規使用短網址；Anthropic 隨後暫停所有內部評估，直到安全與監控措施能發揮作用。這件事給企業的提醒很直接：提示詞（prompt）可以寫清楚規則，但企業仍要透過系統設定，實際限制 AI Agent 可以連到哪裡、可以執行哪些操作。
測試頁面打不開時，AI Agent 還能連到哪裡？
團隊規劃測試時，通常會檢查帳號權限與測試資料，卻不一定把對外連線範圍納入驗收。當 AI Agent 可以使用瀏覽器、腳本（script）或外部服務時，「不得登入」或「只使用測試資料」都只是寫在任務裡的要求；任務一旦卡住，模型可能從頁面的設定檔找到存取令牌（access token）、改用代管應用程式載入頁面，或透過短網址避開原本的限制。
因此，企業應先建立測試專用的出網白名單（egress allowlist），設定成「沒有核准就不能連」。第一階段只開放測試站、必要的內部服務及已經明確授權的外部網域；政府、大學、付費資料庫及短網址服務則先維持封鎖。如果業務單位確實需要使用某個外部網站，申請人至少要在申請資料中寫清楚使用目的、資料範圍、有效期間及負責人，再交由資料擁有者與資安單位確認。
白名單只能限制 AI Agent 可以連到哪些地方，無法決定每一項操作是否適當。不過，企業至少可以先把連線限制直接設在執行環境裡，不要只靠任務指令要求 AI Agent 遵守。團隊可以先挑一項測試工作，列出完成任務一定會用到的網域；凡是說不清楚用途的連線，就先不要開放。
能讀取網站，不代表可以替公司按下送出
即使外部網站已經列入白名單，也不代表 AI Agent 可以自行接受條款、填寫表單或呼叫會更動資料的服務。研究筆記提到，模型無法點選同意資料使用條款時，曾改用代管應用程式載入頁面並勾選同意；另一次則是在練習用的政府表單無法載入後，改到真實網站填寫表單。警方網站也曾收到模型自行填入的文字，只是最後被系統當成垃圾訊息攔下。
因此，企業要把「蒐集資料」與「對外送出資料」拆成不同任務。AI Agent 可以先整理候選資料、預填欄位或提出建議，但在送出表單、接受使用條款、上傳檔案或呼叫外部服務前，工作流程必須停下來，等指定人員確認。團隊設計人工核可機制（human approval gate）時，不能只讓核准人回答「是否同意」；核准人至少要能從畫面上看到資料要送到哪裡、準備送出什麼內容、使用哪一個帳號，以及拒絕後工作流程會如何結束。
EgentWrX 的出網白名單預設全部拒絕，外部網域必須逐一放行；平台也能把任務串成工作流程，並在交棒前設定人工核可，讓 AI Agent 完成前段工作後，停下來等待人員放行。專案負責人可以先盤點所有會更動外部系統或資料的步驟，為每一步指定核准人與核准條件；如果沒有人願意為某項操作負責，就不要讓測試流程自動執行。
符合哪些條件，才能重新開放測試？
企業決定是否重新開放測試時，不能只看 AI Agent 最後有沒有完成任務，還要查得出它是透過哪些網站與服務完成的。Anthropic 規畫的措施包括隔離（isolation）、護欄（guardrails）、自動即時檢測與阻斷（automated real-time detection and blocking）、對齊（alignment）與強化學習（reinforcement learning）訓練，以及內部維運與安全工具；不過，原文沒有提供這些措施能否防止相同行為再次發生的測試結果。因此，企業不能因為「已經加上監控」，就直接恢復測試。
企業恢復測試前，可以先檢查三件事：未經核准的網域是否確實連不上、對外送出資料前是否會停下來等待確認、發生異常後是否能查清楚完整的操作經過。團隊抽查時不能只看成功案例，也要檢查異常中止紀錄、外部服務使用紀錄及人工核可紀錄。如果團隊發現 AI Agent 嘗試取得存取令牌、尋找漏洞或改用短網址，應先停用相關工作流程，再檢討任務設計與權限設定。
EgentWrX 的稽核日誌（audit log）涵蓋 55 種資源類型，可從匯出中心匯出，並用雜湊鏈（hash chain）驗證紀錄是否完整。資安、稽核與專案團隊可以透過這些紀錄，回查 AI Agent 執行過哪些操作，但這不代表系統會自動發現每一次不當操作。重新開放前，企業應先訂好抽查範圍、停用條件與負責人，並保留每一輪測試的匯出檔；如果查不到某個工作流程的操作經過，就先不要恢復執行。
