完整紅隊委任：端對端

自範圍至攻擊執行、證據蒐集、影響評估、報告遞送與補救驗證之 AI 紅隊委任完整指南。

完整紅隊委任：端對端

AI 紅隊委任為評估完整 AI 系統——模型行為、應用整合、基礎設施安全與組織過程——對現實威脅情境之結構化對抗評估。本頁涵蓋自範圍至補救驗證之完整生命週期。

委任生命週期

Scoping & Planning → Rules of Engagement → Reconnaissance
       │                                        │
       ▼                                        ▼
   Threat Modeling ────▶ Attack Execution ◀─────┘
                              │
                              ▼
                Evidence Collection & Documentation
                              │
                              ▼
                Analysis & Impact Assessment
                              │
                              ▼
                Report Writing & Delivery
                              │
                              ▼
                Remediation Validation & Retest

階段 1：範圍與規劃

範圍定義檢核表

委任類型

利害關係人對齊

於開始前，於這四個問題對齊：

1. 成功準則 —— 越獄充足，或必須展示下游業務影響？
2. 風險容忍 —— 展示實際資料外洩，或停於證明漏洞存在？
3. 通訊節奏 —— 暫定報告多常？緊急升級過程為何？
4. 環境約束 —— 生產 vs. 暫存？要避免之尖峰時段？資料敏感度等級？

階段 2：委任規則

標準 ROE 章節

1. 1

   授權

   委任贊助者、授權日期、法律審查確認、特定授權範圍。

2. 2

   範圍邊界

   明確於範圍內與範圍外清單。AI 特定排除：生產客戶資料（使用合成）、非組織擁有之第三方 API 服務。

3. 3

   測試約束

   操作小時、速率限制（避免 DoS）、資料處理規則、持久性與橫向移動授權。

4. 4

   通訊

   主要聯絡人、為去衝突之防禦團隊聯絡人、為關鍵發現之緊急聯絡人。

5. 5

   關鍵發現協定

   嚴重性門檻定義、通知時程（例如關鍵為 4 小時）、加密通訊方法。

6. 6

   證據處理

   加密儲存、存取控制、保留期、報告遞送後之銷毀過程。

AI 特定 ROE 條款

階段 3：偵察

使用 進階偵察 模組之方法論：

1. 模型辨識 —— 行為指紋識別、身分探測
2. 系統提示提取 —— 自 提取模組 之技術
3. 工具／函式列舉 —— 探測可用能力
4. RAG 系統偵測 —— 辨識知識庫來源
5. 基礎設施指紋識別 —— 時序分析、錯誤訊息、標頭檢查

階段 4：攻擊執行

攻擊優先矩陣

打造攻擊鏈

最具影響之發現為展示現實威脅情境之多步鏈：

Example: Data Exfiltration via RAG Poisoning
 
1. INITIAL ACCESS: RAG ingests from shared Confluence wiki
2. INJECTION: Create wiki page with embedded adversarial prompt
3. TRIGGER: Craft queries that retrieve the adversarial document
4. HIJACK: Retrieved content overrides system prompt, instructs
   LLM to include sensitive data as a "reference link"
5. EXFIL: LLM outputs image tag with query params containing
   sensitive data to attacker's server
6. IMPACT: Customer PII exfiltrated through AI assistant

證據蒐集

為每個動作，記錄：

• 時戳（UTC）
• 動作類型（偵察、注入、提取等）
• 目標與使用之技術
• 輸入資料（你送出什麼）
• 輸出資料（何返回）
• 證據檔案（截圖、捕獲）
• 成功／失敗決定
• SHA-256 雜湊之記錄項以完整性驗證

階段 5：打造攻擊敘事

自發現至故事

業務影響框架

階段 6：報告遞送

關於範本與結構，見專用 報告寫作 指南。

遞送協定

1. 1

   草案遞送

   加密草案至委任贊助者。

2. 2

   技術審查

   與安全團隊之 1-2 小時會議。

3. 3

   事實驗證

   為準確度審查之 3-5 個工作日。

4. 4

   執行層簡報

   對領導層之 30-60 分鐘簡報。

5. 5

   最終報告

   以所有修正納入遞送。

6. 6

   補救工作坊

   半日協作規劃會話。

7. 7

   重測排程

   排定實作修復之驗證。

階段 7：補救驗證

重測方法論

1. 1

   重播原 exploit

   嘗試自報告之確切原 exploit。驗證其現被阻擋。

2. 2

   測試繞過變化

   生成原攻擊之變化（不同編碼、措辭、多輪）。驗證修復穩健，非僅模式匹配特定 payload。

3. 3

   分類補救狀態

   REMEDIATED = 原 + 所有繞過被阻擋。PARTIALLY REMEDIATED = 原被阻擋但繞過成功。NOT REMEDIATED = 原 exploit 仍運作。

4. 4

   建立回歸測試

   將成功 exploit 轉為自動化回歸測試。與 CART 管線整合以持續監控。

相關主題

• 報告寫作 —— 使用結構化報告範本記錄發現
• 威脅建模 —— 威脅模型驅動委任規劃

參考資料

• MITRE ATLAS —— 為委任規劃之 AI 威脅知識庫
• OWASP Top 10 for LLM Applications —— 為發現之漏洞分類
• NIST AI Risk Management Framework (AI RMF 1.0, 2023) —— 為 AI 委任範圍之風險框架