二零二六年十月，Anthropic 公開了一宗內部事件：在一次測試中，一個 AI agent 因為練習用的網上表格無法載入，便自行前往一個真實的政府網站，向美國費城警方提交了一份虛構的兇殺案線報。事件的成因並不複雜：給 AI 的指示列明不准開設帳戶、不准輸入個人資料，卻沒有寫明不准提交網上表格。據報道，Anthropic 判斷該模型看來是在生成示範內容，而非蓄意欺騙；該份提交亦被警方系統歸類為垃圾訊息而攔截。不過，這宗事件清楚說明了一個企業部署 AI 時必須面對的問題：只靠指示叫 AI 守規矩，總會有遺漏。本文會介紹 Microsoft 近期推出的「Agent Hooks」，說明它如何以系統方式強制執行規則，以及企業設計 AI 規則時應注意的地方。
為何單靠指示並不足夠？
大部分企業設定 AI agent 時，都是在系統指示裡寫下一系列規則，例如「不要透露客戶資料」、「退款超過某金額要轉交主管」。問題在於，AI 是否遵守這些規則，最終取決於它當下的理解和判斷。指示越長，越容易有遺漏或互相矛盾；遇到指示沒有預見的情況，AI 便只能自行推斷。上述事件正是典型例子：規則採用「列明禁止事項」的寫法，凡是沒有列出的，AI 都可能視為容許。對於會實際執行動作的 AI agent，例如發電郵、改訂單、提交表格，這種漏洞的代價可以很高。
Agent Hooks 是什麼？
Hook 是一種在 AI agent 運作過程中「定點觸發」的機制。根據 Microsoft Copilot Studio 的官方文件，每個 Hook 由兩部分組成：一是「事件」，即 agent 生命週期中的某個時間點，例如對話開始、執行工具前、執行工具後或發生錯誤時；二是「動作」，即事件發生時自動執行的工作流程。當事件發生，系統會把相關資料傳給這個工作流程，再讀取它的回應，從而改變 agent 下一步的行為。目前 Copilot Studio 的 Hooks 處於預覽階段，適用於以 GitHub Copilot 架構驅動的 agent；GitHub Copilot 和 VS Code 亦提供類似的 Hooks 功能。
Hook 與一般工具的根本分別
Hook 和工具（Tool）都可以執行一個工作流程，但觸發方式截然不同。工具由 AI 自行決定是否使用，它會根據工具的名稱和描述，判斷當下是否相關；如果 AI 認為不相關，工具就不會執行。Hook 則不經 AI 判斷，只要指定事件發生，就一定會觸發。另外，工具的回應只是提供資訊給 AI 參考，Hook 的回應則可以直接改變 AI 下一步的行為。換言之，凡是「每一次都必須執行」的規則，例如記錄每個動作、執行前檢查政策、每次對話開始時載入同一套背景資料，都更適合用 Hook 處理，而不是寄望 AI 每次都記得使用某個工具。
六個可用的觸發時間點
Copilot Studio 目前支援六類事件。第一，對話開始：在用戶發出第一句前，自動載入背景資料，例如用戶所屬地區、團隊或未處理的個案。第二，用戶提交訊息：在 agent 處理前，改寫或標準化用戶的輸入。第三，執行工具前：檢查 AI 準備進行的動作，可修改傳入的參數，亦可以直接拒絕執行。第四，工具執行後：遮蓋敏感資料、重新整理結果，或寫入審計紀錄。第五，工具執行失敗：告訴 AI 應如何理解這次失敗。第六，發生其他錯誤：決定重試、略過還是停止，並控制用戶看到的訊息。值得留意的是，只有「執行工具前」這一個事件可以直接攔截動作，其他事件只能補充資料或修改內容。
企業可以如何應用？
以一個處理客戶查詢的 AI 客服為例，企業可以在對話開始時，用 Hook 自動載入該客戶的會員等級和最近訂單，讓 AI 一開始就掌握背景。當 AI 準備執行退款，可以用「執行工具前」的 Hook 檢查金額，超過上限便直接攔截，並要求轉交人手。當 AI 從系統取得客戶資料後，可以用「工具執行後」的 Hook 遮蓋身份證號碼、信用卡號等敏感資料，避免出現在回覆中，同時把每次查詢寫入審計紀錄。如果查詢系統出錯，則可用錯誤處理的 Hook 決定是否重試，並向客戶顯示一句得體的說明，而不是一段技術錯誤訊息。不同 Hook 亦可以組合使用，例如一個套用於所有工具的 Hook 負責記錄，另一個只套用於高風險工具的 Hook 負責額外檢查。
設計 AI 規則：用「白名單」取代「黑名單」
回看開首的事件，另一個重要教訓是規則的寫法。「黑名單」是列明不准做的事，沒有列出的便預設容許；「白名單」則是列明只准做的事，沒有列出的便預設禁止。對於會實際執行動作的 AI agent，白名單通常更安全：例如只准查詢訂單、只准修改預約日期、只准向指定網域發送電郵，其他一律不准。配合「執行工具前」的 Hook，企業就可以把這份白名單由一段文字指示，變成系統層面的強制檢查，不再依賴 AI 每次都理解正確。
使用 Hooks 時的注意事項
Hooks 雖然有用，但並非萬能。根據 Microsoft 文件，如果 Hook 本身的工作流程失敗、逾時或回傳無法讀取的結果，agent 會當作 Hook 沒有回應，照常繼續運作。因此官方明確建議，不應把 Hook 當作業務關鍵規則的唯一保障，而應配合權限設定、人手審批等多重保護。此外，傳入 Hook 的用戶訊息、工具結果和錯誤訊息都應視為不可信的內容，處理前要先驗證。工作流程必須正式發布才會生效，而修改一個工作流程，會影響所有使用它的 Hook。最後，Hooks 仍處於預覽階段，功能可能調整，亦會按用量計費，正式大規模使用前應先充分測試。
結語：讓規則由系統執行
AI agent 越來越能幹，可以替企業完成越來越多實際工作，但能力越大，守規矩就越重要。與其寄望 AI 每次都記得所有規則，不如把關鍵規則交給系統強制執行：用白名單界定 AI 可以做什麼，用 Hook 在關鍵時刻自動檢查和記錄，再配合人手審批處理高風險決定。這樣，企業才能放心讓 AI 員工承擔更多工作。想了解如何為公司設計安全可靠的 AI 員工流程，歡迎前往 ai.ud.hk 了解 UD 的 AI 員工方案。
懂AI，更懂你｜UD相伴，AI不冷