公司內部系統的防護：Workspace、Apple、Claude Code與瀏覽器AI的設定

大家好，我是TIMEWELL的濱本隆太。

如同我在9月30日的上篇所寫，入侵的入口，集中在對外可見設備的弱點，以及身分與驗證的薄弱。守護公司內部系統的工作，多半不是買新產品，而是重新檢視已在使用的服務設定：身分管理、管理員權限，以及與外部應用程式的串接。

這篇文章挑了許多公司都在用的4項：Google Workspace、Apple Business、Claude Code，以及在瀏覽器中運作的AI代理。依據各家的官方文件與OWASP，整理該檢視什麼、依什麼順序。這不是涵蓋每個畫面的操作手冊，而是說明設定的想法與優先順序。數字與規格，都是截至2026年10月20日能確認到的。

Google Workspace：先從管理員帳號開始

Google公開了給中型、大型企業的資安檢查表。¹ 項目很多，如果要排優先順序，我會照下面的順序來。

1. 把管理員帳號分開。

Google的管理員帳號最佳實務，建議讓多位不同的負責人，各自擁有超級管理員帳號。這樣即使某個帳號遺失，其他超級管理員仍可繼續處理重要工作。在此之上，每位超級管理員要有兩個帳號：管理用的帳號，以及日常工作用的一般帳號，例如admin-maria@example.com與maria@example.com。超級管理員只在必要時登入，作業結束就登出。一直保持登入，會提高遭網路釣魚的風險。²

日常的管理工作，委派給只有受限管理員角色的一般帳號，只給必要的最小權限。例如，允許建立使用者與重設密碼，但不允許刪除使用者。²

2. 強制兩步驟驗證，並使用能抵禦網路釣魚的方式。

檢查表列出：要求使用者使用兩步驟驗證，並且至少對管理員等重要帳號，要求使用能抵禦網路釣魚的實體安全金鑰。¹ 管理員頁面把安全金鑰稱為「兩步驟驗證中最安全的方式」，並建議登錄多把備用金鑰，放在安全的地方保管。² 也要準備復原用的電話號碼與電子郵件，以及事先產生並列印好的備用碼。

3. 讓第三方應用程式的存取，改為核准制。

掌握哪些應用程式可以存取Gmail、雲端硬碟等核心服務，只允許已核准的。不使用OAuth等最新標準的、安全性較低的應用程式，要加以封鎖。建立可信任應用程式的允許清單，也在列舉之中。¹ 值得檢查一次：員工自行串接的應用程式，是否已成為公司郵件與檔案的入口。

4. 把共用的預設值，設得嚴格一些。

在雲端硬碟，關閉對組織外的共用，或以信任規則控管。禁止公開到網路的共用，並把一般存取的預設值設為「受限」。對網域外共用時，向使用者顯示警告。含有機敏資料（例如護照號碼）的檔案對外共用，可以用資料外洩防護（DLP）封鎖或警告。¹

5. 郵件驗證，與自動轉寄的控管。

在Gmail，用SPF與DKIM驗證寄件來源，並以DMARC規定未通過驗證郵件的處理方式。停用自動轉寄，IMAP與POP只開放給需要的使用者。¹ 郵件驗證的細節，在DKIM重放攻擊是什麼這篇文章中有更多說明。

6. 確實切斷離職者的存取。

離職時，撤銷對組織資料的存取。在疑似遭入侵時，或針對離職者，停止透過Google Takeout大量下載資料，也列在檢查表中。¹

7. 建立監看的機制。

用活動報告與警示，定期確認帳號狀態、管理員權限與兩步驟驗證的登錄情形。設定管理員的郵件警示，偵測可疑的登入與管理員所做的變更。管理員的操作，能在稽核紀錄中，確認是誰、何時、從哪個IP位址進行的。¹²

另外，依IP位址或裝置狀態等條件控管存取的情境感知存取，也在檢查表中。¹ 可使用的契約種類有條件限制，請先確認自家的契約再來考慮。

Apple Business：把裝置與公司的Apple帳號納入管理

Apple的官方文件，把Apple Business的入口網站，作為給組織的管理入口。這個入口網站，包含免費提供給組織的內建裝置管理服務。對象是iPhone、iPad、Mac、Apple TV與Apple Vision Pro。³

1. 從購買開始，就把裝置納入管理。

組織購買的Apple裝置，可以在使用者拿到之前，自動登錄到裝置管理服務。購買來源必須是Apple、授權經銷商或電信業者。採用這個機制，就不必事後才把個人的裝置納入管理，而是從一開始就套用公司的標準設定。登錄時，需要以受管理的Apple帳號進行驗證。³ 營運上的一點提醒：裝置管理服務的權杖，一年後就會失效，所以在到期之前，要在入口網站產生新的權杖。³

2. 用受管理的Apple帳號，分開公司的身分與個人的身分。

受管理的Apple帳號，是由組織設計、擁有、管理的帳號，與個人自己建立的Apple帳號是不同的東西。目的是把組織的資料與個人的資料分開，更容易保護組織的資料。建立方式有3種：手動建立、與Google Workspace或Microsoft Entra ID等身分提供者的聯合驗證，以及同步。帳號設計上要使用組織所擁有的網域名稱，子網域則要各別新增。Apple對受管理的Apple帳號，維持ISO 27001與ISO 27018的認證。⁴

使用Google Workspace的公司，可以直接把Workspace帳號，作為受管理Apple帳號的驗證來源。能把身分管理整合在一處，是很大的優點。

3. 讓Mac的磁碟維持加密狀態。

使用裝置管理服務，可以在設定輔助程式的過程中，強制開啟FileVault。個人復原金鑰，可以選擇顯示給使用者，或託管（escrow）到裝置管理服務。在macOS 26.4以後，設定過程中FileVault預設為開啟。即使如此，為了託管復原金鑰，以及避免使用者事後關閉，管理設定仍有意義。⁵ 這是在裝置遺失、遭竊時，讓資料維持無法被讀取狀態的最基本準備。

4. 對高風險的人，也考慮鎖定模式。

鎖定模式（Lockdown Mode），是針對可能遭鎖定攻擊的人，所提供的選擇性的強力保護。它不是要給所有員工開啟的。比較實際的做法，是限縮在主管，以及處理機密資訊的人員等少數對象來考慮。另外，裝置管理服務能確認鎖定模式狀態的功能，是針對發行前的iOS 27等版本的說明，到正式版之前可能會改變。⁶

Claude Code：決定權限與信任的界線

Claude Code是能執行指令、編輯檔案的AI代理。官方的安全文件，說明了權限機制與防護的想法。⁷

1. 以組織為單位，決定權限模式。

手動模式（Manual）從唯讀開始，編輯檔案或執行指令之前，都會請使用者核准。自動模式（Auto）則由另一個分類器模型審查行動，並阻擋它判斷為不安全的行動。組織也可以關閉自動模式。使用者明確設定的允許與拒絕規則，仍然會適用。⁷

2. 限制會連到網路的指令。

像curl、wget這類從網路取得內容的指令，預設不會自動核准。如果不想讓它們執行，就把它們加入拒絕規則（permissions.deny）。不過要注意，拒絕規則比對的是照字面寫出來的指令。如果想要不受指令寫法影響的網路限制，就使用沙箱的網路隔離。⁷

3. 使用沙箱。

可以讓Bash指令，與檔案系統及網路隔離地執行。這個機制是為了在減少核准確認的同時，維持安全性。工作目錄的界線，運作方式是核准確認，而經核准的Bash指令，可以寫入使用者帳號有權寫入的任何位置。想要在作業系統層級加以限制，就啟用沙箱。⁷

4. 不要把不受信任的內容，直接交給它。

文件建議：不要把不受信任的內容，直接導給Claude；核准之前，先確認所建議的指令；對重要檔案的變更，要加以驗證。與外部網路服務互動的腳本與工具呼叫，最好在虛擬機器中執行。第一次開啟儲存庫時的「是否信任此資料夾」的確認，也代表你接受該資料夾裡的檔案能夠執行的內容。以-p啟動的非互動式作業階段，不會顯示這個確認，也不會顯示MCP伺服器的核准確認。⁷

5. MCP伺服器，只用可信任的提供者。

MCP伺服器，是把AI連到外部工具與資料的機制。文件鼓勵自己撰寫，或使用可信任提供者的伺服器。Anthropic在把連接器放進目錄之前會加以審查，但不會對任何MCP伺服器做安全稽核或管理。想限制組織內能執行的伺服器，有受管理的MCP設定（Managed MCP configuration）。⁷

6. 以管理設定與監控，強制執行組織的標準。

作為團隊的使用方式，文件列出：以管理設定（managed settings）強制執行組織的標準、透過版本控管共享已核准的權限設定、以OpenTelemetry監控使用情形，以及用掛鉤（hook）在作業階段中稽核或阻擋設定的變更。⁷ 不要交給每位開發者自行管理，而是由組織訂出標準並發送下去。

瀏覽器代理：理解「資訊被拿走」的機制

在瀏覽器裡運作的AI，閱讀網頁、填寫表單、代為操作。很方便，但也有它特有的危險。

機制上的問題

OWASP把提示詞注入，整理為LLM的主要風險之一。其中的「間接提示詞注入」，是指模型解讀了埋在網站或檔案等、從外部取入的內容中的指示，而改變了行為。所列的影響包括：機敏資訊外洩、對LLM可使用的功能的未授權存取（權限濫用）、在串接的系統中執行任意指令。影響有多嚴重，大幅取決於賦予模型的權限。OWASP也寫到，目前尚未確立完整的防止方法。⁸

瀏覽器代理，是在使用者已登入的作業階段中運作，並閱讀網路上的內容。如果網頁裡藏著攻擊者的指示，AI就可能照著做，把資訊送出去，或執行操作。即使人眼看不見（例如隱藏的文字），只要模型讀得到，就會有影響。⁸

實際上有多少事情在發生

Google在2026年4月23日，公布了調查公開網路的結果。做法是使用Common Crawl，以固定語句的模式偵測，用Gemini分類意圖，最後由人確認。從2025年11月到2026年2月，惡意類別的偵測，相對增加了32%。不過，偵測到的多半是研究論文或教育文章等無害的例子。惡意的當中，竊取資料的嘗試數量少、精巧度低，另外也發現了以刪除檔案為目的的破壞性指示。Google的結論是：攻擊者還在實驗階段，並沒有把研究成果大規模實用化。同時也預測，考量到增加的趨勢，以及代理式AI可能降低攻擊成本，規模與精巧度會提高。⁹

換句話說，現在還不能斷定「資訊正被廣泛竊取」。但也不能說「不會發生」。開始準備，有充分的理由。

提供者說明的對策，與殘留的風險

Anthropic的Claude in Chrome說明文章，說明了權限模式（手動核准、自動核准）、檢查收到的內容的分類器，與在執行前檢查每個操作的分類器共2種，以及網站層級的控制。對高風險網站的存取是禁止的，金融網站則會在存取前請求許可。在內部測試中，據稱把攻擊成功率壓在0.08%以下（這是該公司自己的數值，並非第三方驗證）。即便如此，說明文章中仍明確寫著「風險不是零」。¹⁰

組織的管理員，可以設定允許與禁止的網站清單，也可以在整個組織開關這個擴充功能。對於處理機敏資料的組織，建議採用嚴格的允許清單。¹⁰

該在公司內部訂下的規則

依據提供者的說明與OWASP的緩解措施，列出值得在公司內部訂下的規則。

• 不要用在機密性高的業務上。 說明文章也強烈建議，避免用於管理金融帳戶、處理法律文件、處理醫療資訊，以及使用含機密資訊的業務帳號。¹⁰
• 使用獨立的瀏覽器設定檔。 在沒有登入銀行、醫療、政府等帳號的設定檔中，執行瀏覽器代理。¹⁰
• 操作的核准，維持手動。 尤其是第一次使用的網站，以及傳送資料、購買、發文等無法挽回的操作，要由人來確認。OWASP也列出對高風險操作，加入人工核准。⁸
• 縮小可造訪的網站範圍。 由管理員以允許清單，限定可使用的網站。¹⁰
• 把權限壓到最小。 只給AI工作所需要的權限。⁸ 與其把認證資訊直接交給它，也有使用密碼管理工具串接的方式。¹⁰
• 不要讓它讀不受信任的內容。 讓AI摘要外部的郵件，或來源不明的網頁，就是間接提示詞注入的入口。

有一種想法是：當3個條件湊齊，危險就會變大。這3個條件是：AI能存取私人資料、AI會讀取不受信任的內容、AI能對外傳送資料。只要拿掉其中任何一項，危險就會變小。這是我自己的整理。例如，只用來閱讀的瀏覽器代理，就把對外傳送封住。

優先順序：從哪裡開始

4項不需要一次全做。如果是我，會照下面的順序進行。

1. 分開Google Workspace的管理員帳號，並導入安全金鑰（本週）
2. 檢視Workspace第三方應用程式的核准制，以及共用的預設值（本月）
3. 對Mac導入裝置管理，把FileVault與Apple帳號納入管理（本月到下個月）
4. 以組織為單位，決定Claude Code的權限模式、網路限制，以及MCP的允許範圍（本月）
5. 撰寫瀏覽器代理的使用規則：不用於機密業務、獨立的設定檔、手動核准（本月）

總結

守護公司內部系統的核心，不是新產品，而是已有服務的設定。Google Workspace從管理員帳號開始，Apple Business從裝置與身分的管理開始，Claude Code從權限與沙箱開始，瀏覽器代理則從縮小使用範圍開始，來加以鞏固。

瀏覽器代理目前還沒有被廣泛濫用。不過，機制上的問題，提供者與OWASP都承認。對新技術而言，在開始使用之前先訂好規則，比事後再修補，要輕鬆得多。

如果想討論公司內部設定的檢查，或員工規則的制定，歡迎透過WARP SECURITY的個別諮詢與我們聯絡。各家的規格會改變，有後續報導或規格變更時，我會更新這篇文章。

參考資料

Footnotes

1. Security checklist for medium and large businesses (100+ users)（英文）— Google Workspace Help ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸

2. Security best practices for administrator accounts（英文）— Google Workspace Help ↩ ↩² ↩³ ↩⁴

3. Deploy devices with Apple School Manager or Apple Business（英文）— Apple Support ↩ ↩² ↩³

4. About Managed Apple Accounts（英文）— Apple Support ↩

5. Manage FileVault with device management（英文）— Apple Support ↩

6. WWDC26 device management updates（英文，含發行前的資訊）— Apple Support — 2026年6月8日 ↩

7. Security — Claude Code Docs（英文）— Anthropic ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷

8. LLM01:2025 Prompt Injection（英文）— OWASP GenAI Security Project ↩ ↩² ↩³ ↩⁴

9. AI threats in the wild: The current state of prompt injections on the web（英文）— Google — 2026年4月23日 ↩

10. Use Claude in Chrome safely（英文）— Claude Help Center — Anthropic ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶