作者：林泰宇/ 北區學術資訊安全維運中心資安工程師、李美雯 /臺灣大學計算機及資訊網路中心程式設計師
前言：當AI遇上資安維運
資訊安全的攻防戰場從未停歇。傳統的藍隊（Blue Team）維運工作高度依賴人工，資安工程師每天面對海量的系統日誌、告警訊息與網路流量，在疲勞與資訊過載之間試圖找出真正的威脅。根據HivePro的調查 [1]，平均每個企業的 SOC（Security Operations Center）每日需接收處理超過一萬筆的資安事件告警，而其中真正需要緊急處置的事件往往被淹沒在大量誤報之中。
近年來，大型語言模型（LLM）的快速發展為這個困境帶來了新的可能性。當 AI 不再只是一個聊天介面，而是能夠主動調用工具、讀寫系統、執行命令的自主代理（Autonomous Agent）時，其在資安維運場景的應用潛力便呈現出截然不同的面貌。AI Agent 能夠在數秒內理解日誌內容、並跨越多個資料來源進行關聯分析，在確認威脅後立即觸發防護動作，這正是人工難以達成的速度與規模。
因此本文將聚焦於Model Context Protocol（MCP）技術，探討如何以Claude Desktop作為MCP Client、搭配自建的MCP Server，構建一套能夠實際落地的自動化維運系統。我們將以概念性驗證的方式說明在主機遇到SSH暴力破解資安事件時，如何使用AI Agent 在無需人工介入的情況下完成威脅偵測、分析研判與主動封鎖的完整流程。
MCP協議架構與AI Agent技術概概念
在 MCP 出現之前，每一個希望讓 AI 模型調用外部工具的開發者，都必須自己開發工具呼叫LLM，造成大量重複工程且難以標準化。 而Anthropic 公司於 2024 年底制定了開放標準協議Model Context Protocol（MCP），旨在解決 LLM 應用中模型與外部世界脫節的問題。本文將用圖說明MCP 定義的三層架構 [2]：
- MCP Host:是使用者直接互動對話的入口，負責管理 LLM 連線與 MCP Client 的生命週期。Claude Desktop 是目前受歡迎的 MCP Host 之一，內建 MCP Client，能夠與多個 MCP Server 同時保持連線。
- MCP Client:為在MCP Host 中的程式，負責維護與各個 MCP Server 之間的1 To 1協議連線，處理訊息的序列化與反序列化，並將 Server 提供的資源（Tools、Resources、Prompts）透過標準化介面傳送給 LLM。
- MCP Server:是真正的賦予LLM操作能力的提供者。它是一個輕量級的本地或遠端服務，透過開發制定能提供哪些工具（Tool），每個工具具備名稱、描述與參數 Schema。當 LLM 決定需要調用某個工具時，Client 會透過 JSON-RPC 2.0 協議向對應的 Server 發送請求，Server 執行實際操作後回傳結果。
圖 1 MCP架構
資料來源:自行整理
AI Agent 的運作模式
在 MCP 的加持下，LLM 從對話機器升級為具備行動能力的 AI Agent。一個完整的 Agent 循環（ReAct Loop）包含以下步驟 [3] [4]：
- 感知（Perceive）：接收使用者指令或系統觸發的事件描述
- 思考（Reason）：基於當前資訊分析情況，決定下一步行動
- 行動（Act）：呼叫 MCP 工具取得資訊或執行操作
- 觀察（Observe）：接收工具回傳的結果，更新對情況的理解
- 迭代（Iterate）：重複思考→行動→觀察，直到任務完成
這個循環使得 AI Agent 能夠處理多步驟的複雜任務，而非單純的一問一答。在資安維運場景中，這意味著 Agent可以依照使用者所輸入的字詞，經由Agent循環自主完成讀取日誌 → 分析異常 → 查詢情資 → 執行封鎖 → 回報結果的完整工作流程。
圖 2 AI Agent循環時序圖
資料來源:自行整理
AI Agent系統維運概念設計
基於MCP的自動化維運系統，其架構可分為感知層、決策層與執行層三個部分。針對主機資安防護設計，本文將以實務情境進行考量，建立含有安全控制機制的AI Agent系統 [5]，在賦予AI Agent系統操作權限的同時，進行嚴格的安全控制，以確保代理不失控。以下說明架構、核心工具與安全控制機制：
- 感知層：負責收集原始安全資料，包含：系統日誌（/var/log/auth.log、/var/log/syslog）、網路連線狀態（netstat、ss）、程序資訊（ps、lsof）以及防火牆規則現況。這些資料源透過 MCP Server 的各個工具連接至 LLM。
- 決策層：即 Claude LLM 本身，其扮演資安分析師的角色，基於感知層收集的資料進行威脅研判。LLM 的強項在於理解語義、進行跨源關聯分析，可代替人類執行將非結構化的日誌文字轉化為有意義的安全洞察內容，人類分析師可從LLM回傳內容做初步判斷輔助決策。
- 執行層：LLM依照決策層的判斷與歷史上下文的內容，呼叫MCP Server內的工具轉換為實際的防護動作，包括：IP 封鎖、服務重啟、帳號鎖定、告警通知等。這些操作透過 MCP 工具執行，確保每一個動作都有明確的輸入輸出記錄。
MCP Server 工具集設計
針對主機資安防護MCP Server在概念設計上可以提供以下工具，使LLM能透過調用的方式進行自主理解後的運作，可參考本文列出以下表格的工具作為MCP Server工具設計上之參考。
表格1：MCP Server工具概念設計，資料來源：自行整理
|
工具名稱
|
功能描述
|
輸入參數
|
回傳內容
|
|
get_failed_ssh_attempts
|
查詢 SSH 登入失敗記錄
|
minutes（查詢時間範圍）
|
IP清單、嘗試次數、時間區間
|
|
get_active_connections
|
列出當前活躍連線
|
port（可選過濾）
|
連線IP、Port、狀態
|
|
read_auth_log
|
讀取認證日誌
|
lines（行數）、filter（關鍵字）
|
原始日誌內容
|
|
query_ip_reputation
|
查詢 IP 威脅情資
|
ip_address
|
惡意程度評分、地理位置、已知惡意行為
|
|
block_ip_iptables
|
以 iptables 封鎖 IP
|
ip_address、reason（封鎖原因）
|
執行結果、規則
|
|
unblock_ip_iptables
|
解除 IP 封鎖
|
ip_address
|
執行結果
|
|
get_blocked_ips
|
列出目前已封鎖的 IP
|
無
|
封鎖清單與原因
|
|
send_alert
|
發送安全告警通知
|
severity、message、details
|
通知發送狀態
|
安全控制機制
在賦予AI Agent系統操作權限的同時，必須實施嚴格的安全控制，以確保AI不失控，因此可以參考本文列出的概念說明作為安全機制的設計考量。
- 白名單保護：在 MCP Server 的 block_ip_iptables 工具中，建立一份受保護的 IP 白名單如:管理員 IP、監控系統 IP、已知合法服務 IP，任何封鎖請求若命中白名單，將直接拒絕並回傳告警。
- 人工確認後執行：對於大範圍封鎖操作如:封鎖整個 CIDR 網段、進行提權的系統操作時，工具可設計為回傳待確認狀態，要求人工在 Claude Desktop 介面確認後方可執行。
- 操作頻率限制：在 MCP Server 層設定單一時間窗口內允許的最大封鎖操作次數，防止 AI 因分析失誤而大量誤鎖事件發生。
資安事件案例：SSH暴力破解攻擊的AI自動防護結論
本章以具體的資安事件場景為例，展示 AI Agent 如何進行防護步驟流程，將以VM環境進行測試，如圖環境配置，透過NAT網路進行連接，將以Kali Linux主機對 Ubuntu主機進行SSH暴力破解嘗試。情境為:假設某 Linux 主機（Ubuntu 22.04）對外開放 SSH 服務（Port 22）。某日，來自 IP 位址 192.168.0.X的主機(Kali Linx)開始對該伺服器發動 SSH 暴力破解攻擊，每分鐘嘗試數使用不同帳號密碼的登入。
圖 3.環境配置，資料來源：自行整理
- MCP Server與MCP Client進行連線配置，當配置成功時，可在Claude Desktop中看到已連線並啟動的本地MCP Server。可以輸入prompt確認Claude是否可以調用該MCP Server，相關測試如圖所示。
圖 4.本地MCP Server部屬配置，資料來源：自行整理
圖 5.Claude Desktop調用測試，資料來源：自行整理
測試完已串接MCP Server後，就可以對其功能進行詢問，以下將舉例請AI Agent查看目前主機開放的port、檢查系統可更新的套件與查看最近的認證log，可從圖片中可以看到，當Agent要調用系統權限進行指令查詢時，皆會觸發於MCP Server中的安全控制機制，需經過人工允許才會執行。AI作業流程結束後返回的結果，可再經人工二次驗證是否為正確輸出，若錯誤可迭代進行對話詢問以請AI修正取得正確輸出內容。
圖 6.AI Agent功能測試1，資料來源：自行整理
圖 7.AI Agent功能測試結果1，資料來源：自行整理
圖 8.AI Agent功能測試2，資料來源：自行整理
圖 9.AI Agent功能測試結果2，資料來源：自行整理
圖 10.AI Agent功能測試3，資料來源：自行整理
圖 11.AI Agent功能測試結果3，資料來源：自行整理
情境展示
- IP進行SSH暴力破解嘗試作為情境，在 Claude Desktop 輸入提示詞：
- SSH 登入嘗試，若有發現攻擊行為請進行分析並執行必要的防護措施。」接著AI Agent 便開始執行自動化工作流程，測試與驗證如以下。
- Kali Linux測試對Ubuntu Linux的連線狀態以及進行SSH暴力破解攻擊，可以從圖中看到該主機可以進行連線與SSH暴力破解嘗試。
圖 12.Kali Linux連線測試，資料來源：自行整理
接著至Ubuntu中的Claude Desktop請代理進行SSH登入調查與自動執行封鎖，可以看到AI系統需要人工介入允許後，才可執行主機系統權限並操作指令，此外AI Agent會依照制定的流程進行作業與修正。
圖 13.AI Agent運作1，資料來源：自行整理
圖 14.AI Agent運作2，資料來源：自行整理
AI系統自動執行完成後會取得簡易的防護報告與建議，可以從圖中看出Agent操作了三個不同的系統元件，其中Fail2Ban以及UFW無法進行，因此透過反覆決策執行後選擇使用iptables進行快速防護封鎖，從報告中可以得知有一個內網IP對目前的主機進行SSH暴力破解嘗試56次，並已遭到封鎖無法進行SSH連線。
圖 15.Agent自動執行結果，資料來源：自行整理
最後透過人工雙重驗證AI Agent的封鎖以及驗證Kali Linux該台主機是否已經無法對Ubuntu主機進行SSH連線，從圖中結果可得到，AI的封鎖是精準的，並且已經順利限制Kali Linux使其無法再連線。
圖 17.驗證Agent結果2，資料來源：自行整理
隨著 AI Agent持續成熟以及 LLM 推理能力的持續提升，未來AI Agent 在資安維運領域的應用將進一步深化。威脅獵捕（Threat Hunting）不再只是被動響應告警，而是由 Agent 主動制定獵捕假說、設計查詢策略、在主機與網路層進行系統性的威脅搜索。此外在跨主機協同防護，可以透過多個 MCP Server 分別部署在不同主機上，由中央 Orchestrator Agent 協調多agent [6]，實現分散式的智能防護網絡，在偵測到攻擊者的橫向移動（Lateral Movement）時同步觸發多主機的防護響應。在威脅情資自動生成方面，AI Agent 在處理完資安事件後，自動提取攻擊特徵（IOC，Indicator of Compromise），並以標準格式（STIX/TAXII）推送至組織的情資威脅平台，建立情資資料庫的積累。
資安維運的未來，不是 AI 取代資安工程師，而是工程師透過 AI Agent 的加持，能夠以一人之力完成過去需要整個團隊才能覆蓋的防護廣度與深度。MCP 作為連結 AI 能力與主機系統的橋樑，正在使人機防護的未來加速到來。
參考資料
[1] A. Mishra, “The Exposure Validation Revolution: From Hoping to Knowing,” 4 2025. [線上]. Available: https://hivepro.com/blog/the-exposure-validation-revolution/.
[2] Claude, “Claude Code Docs,” [線上]. Available: https://code.claude.com/docs/zh-TW/mcp.
[3] Huggingface, “Understanding AI Agents through the Thought-Action-Observation Cycle,” [線上]. Available: https://huggingface.co/learn/agents-course/unit1/agent-steps-and-structure.
[4] M. Team, “What Is the ReAct Loop? How AI Agents Reason, Act, and Iterate,” 5 2026. [線上]. Available: https://www.mindstudio.ai/blog/what-is-react-loop-ai-agent-reasoning.
[5] S. He, “選擇代理式 AI 系統的設計模式,” 2025. [線上]. Available: https://docs.cloud.google.com/architecture/choose-design-pattern-agentic-ai-system?hl=zh-tw.
[6] K. Dhanagopal, “Google Cloud 中的多代理程式 AI 系統,” 2025. [線上]. Available: https://docs.cloud.google.com/architecture/multiagent-ai-system?hl=zh-tw#contributors.