學員提問

安裝 Skill、MCP 或 API 時，怎麼先做基本資安檢查？

安裝與設定第 8 章・把 AI 帶進公司：治理、風險與導入節奏

想請教老師，在安裝、設定環境的階段是否也會提到基本的資安防護觀念措施？像是啟用沙箱隔離、Skill 與 MCP 套件審查、API 與憑證權限等，以避免日後遭受供應鏈/隱形程式碼等威脅的風險。

林思翰 Hans講師回覆

當然會有，而且好消息是 HermesAgent 本身就具備很強的資安管理。

例如：如果你把 API 直接貼在對話框，它就會警告你這是高危險動作，當你要執行刪除的時候，它也會提醒你這件事情可能會出現什麼樣的風險。

這個 AI 的好處是它本身就已經具備很強大的資安意識，所以甚至你不需要下達指令，它都會告訴你正確的做法應該怎麼做。

以下由整理者依課程內容與官方文件補充，不是講師在課堂的原始回覆。

  1. 讀套件官方說明，確認來源，以及會讀哪些檔案、寫到哪裡、是否需要密鑰或刪除權限。說明不足先不接正式資料。
  2. 先用可還原的測試資料夾或草稿，確認只改到指定檔案。
  3. API Key（服務密鑰）只放工具指定的憑證設定，不貼留言、Skill 本文或共享文件。

沙箱能限制程式接觸範圍，但需確認真的有啟用；口頭叫 AI 小心不等於隔離。公司環境依內部規範，CH8 不取代完整資安稽核。

回課程對照

  • 3-1 · 什麼是 MCP？一次搞懂 MCP、API、Skill 差別
  • 8-1 · 公司資料哪些能餵 AI？資料分級與模型選擇矩陣
開啟上課教室，選上方單元 ↗

這題有解決你的問題嗎？

來源與核對紀錄

提問來源：學員提問（已匿名） · 學員提問與講師回覆依課程討論原文保留，只拿掉姓名與稱呼

內容更新 · 編輯核對 2026-09-22 · AI 編輯核對，依 Hans 原回覆整理

對應章節：第 3 章・編排工程：讓工具真的接起來、第 8 章・把 AI 帶進公司：治理、風險與導入節奏 · 什麼是 MCP？一次搞懂 MCP、API、Skill 差別、公司資料哪些能餵 AI？資料分級與模型選擇矩陣

依原始學生問答、講師回覆與列出的課程或官方來源編輯核對。具體情境若標示假設，代表教學示範，不是學員已實測結果。

  • Q012 · 2026-08-09 · 沙箱套件審查與憑證權限是否有教
資安、沙箱、套件審查、MCP 權限、API Key、Hermes、愛馬仕