要用 AI 自動化重複任務，選擇一個高頻、有邊界，而且可以量度輸入和合格輸出的流程。把穩定規則留給一般程式，只讓 AI 處理真正需要語言判斷的環節，並以最小權限、沒有真實副作用的方式測試整條鏈。先作影子運行，再逐步允許受控執行。

OpenAI 的工作研究顯示，AI 正更多用於完成實際任務。［1］但「完成」不等於安全自治。可交付的是一條有負責人、schema、測試集、監察、暫停條件和人工回復的受控工作流程。

關鍵要點

選任務前先量度現有人工流程。

優先高頻、穩定、可逆、錯誤代價低的候選。

分開確定性處理和 AI 判斷。

把所有外部內容視為不可信資料。

從唯讀 dry-run 和影子對照開始。

推出前定義暫停、回復和人工接管。

如需先理解模型、可調用工具的系統與自主循環之間的分別，請閱讀甚麼是 AI Agent。本文只處理一個真實流程的選擇與驗證。

如何安全地用 AI 自動化重複任務？

先觀察足夠多的人工案例，看清正常的變化範圍。記錄觸發條件、輸入、步驟、涉及的系統、處理時間、等候時間、返工、常見例外、錯誤代價，以及由誰解決歧義。不要從工具示範出發，再尋找部署位置。

建立候選任務評分表：

因素	合適的首個候選	風險訊號
頻率	足夠頻繁，可以量度	少見或季節性
規則穩定性	步驟和政策變化慢	每個案例的判斷都不同
輸入邊界	已知欄位和來源	開放式收件匣或任意網頁存取
錯誤代價	可逆且修正成本低	涉及金錢、權利、安全或刪除
評估方式	有明確驗收準則	質素取決於隱性喜好
例外	少量且已標記	例外主導整個流程
權限	唯讀或狹窄寫入範圍	廣泛管理員權限

合適的首個候選包括：把已獲批准的文本歸入小型分類體系、起草供人審閱的回覆、把欄位擷取到隊列，或為已核實的摘要排版。不適合作為第一步的包括：發放退款、更改帳戶存取權限、刪除紀錄、對外發佈，或作出法律或僱傭決定。

若人工流程尚未穩定，先使用AI 製作 SOP 與檢查清單的流程。把未有文件記錄的流程自動化，往往保留了原有混亂，同時移除過去能發現錯誤的溝通。

步驟 1：記錄人工基線

選定量度時段，並按私隱及紀錄保存規則收集具代表性的案例。為每個案例記錄完成時間、排隊時間、質素缺陷、返工、上報處理和最終結果。在開始 AI 試驗前，先界定哪個指標最重要。

基線可以追蹤：

處理時間的中位數和最壞情況；
毋須修正即獲接受的比例；
關鍵錯誤數目，而不只是平均質素；
仍然需要的人工審閱量；
例外及上報比例；
運作成本與故障復原成本；
對用戶或持份者的影響。

不要把「輸出看來不錯」當作驗收測試。編寫評分準則，列明必填欄位、禁止內容、容差和拒絕例子。另留一組不參與調校的測試集，以免提示詞調校把每個評估案例「記熟」。

指定工作流程負責人。此人決定範圍、承擔剩餘風險、批准變更，並可以暫停系統。開發人員或供應商不應只因搭建了自動化，就悄然成為業務負責人。

步驟 2：拆分確定性步驟和 AI 任務自動化

把流程拆成小階段繪畫出來。解析穩定格式、校驗必填欄位、核對允許清單、計算總額、執行權限、按精確 ID 去重，以及套用明確的業務規則，都應使用一般的確定性邏輯。只有在語言變化或有邊界的分類能帶來價值時才使用 AI。

例如，一個入站請求的工作流程可以是：

確定性的檔案與寄件人檢查；
內容隔離和大小限制；
AI 按獲批分類體系進行分類；
確定性的 schema 校驗與按信心水平分流；
人工審閱不確定或敏感的案例；
確定性地寫入隊列，並記錄審計事件。

這種結構令失敗可見，也讓你可更換模型或提示詞，而毋須重寫權限執行和副作用處理。

NIST 的生成式 AI 概況文件強調在設計、開發、部署和使用全過程管理風險，包括虛構內容、私隱、資訊完整性和人工監督。［2］因此，工作流程圖應顯示圍繞模型的控制措施，而不是把模型本身當作控制措施。

步驟 3：固定輸入和輸出 schema

訂立輸入契約：允許的欄位、類型、最大大小、編碼、來源身份，以及缺失值如何處理。契約以外的材料要拒絕或隔離。切勿把不可信內容拼接到高權限指令之中，再假設一個分隔符就能確保安全。

訂立機器可讀的輸出 schema。優先使用枚舉值、明確的可空欄位、證據引用，以及 uncertain 或 requires_review 狀態。解析之後要再作校驗；不要執行一段只是「看似 JSON」的文本。

為每個欄位說明：

是否必填；
容許的類型和範圍；
AI 可否推斷該欄位；
由哪些輸入證據支持；
缺失或無效時如何處理；
是否必須由人批准。

兩個 schema 都要設版本。改變含義的提示詞或政策變更，應產生新的工作流程版本，並重新執行測試集。不要在互不相容的版本之間沿用批准或快取輸出。

步驟 4：使用最小權限並劃定副作用邊界

只給工作流程當前階段所需的工具。分類器不需要付款 API，起草步驟不需要傳送權限。可行的話，為提議和執行使用不同的憑證和服務。

OWASP 的 Excessive Agency 指引建議盡量減少擴充功能、權限和自主程度，對高影響動作要求用戶批准，並對工具調用作完整中介。［3］這些控制應落實在整合層，而非提示詞裏的一句話。

從以下控制開始：

唯讀資料存取；
沙盒或隔離的測試租戶；
嚴格的目的地和操作允許清單；
每次運行和每日的動作上限；
逾時和有上限的重試；
為可重試的寫入使用冪等鍵；
適合你所在環境的只追加審計軌跡；
由模型以外的人或系統控制的緊急停止開關。

記錄決策和副作用請求，但要遮蓋密鑰和不必要的個人資料。日誌不能變成敏感輸入的第二份無人監控的副本。

步驟 5：防禦提示注入和惡意輸入

任何電郵、文件、網頁、工單、評論或檢索到的紀錄，都可能含有叫模型忽略規則或調用工具的文字。要把這些文字當作資料。OWASP 的提示注入防護指引建議分離指令和資料、驗證輸出、執行最小權限，並監察可疑行為。［4］

為以下情況建立測試：

直接的「忽略之前的指令」字句；
隱藏在檢索內容中的間接指令；
經編碼或混淆的指令；
要求披露系統提示詞或密鑰的請求；
試圖更改目的地或動作類型；
超大內容和解析器邊界情況；
試圖批准其自身動作的內容。

不要依賴短語封鎖名單。攻擊措辭會改變，而普通文件也可能包含相同字眼。持久有效的控制是：模型無法擴大權限、繞過校驗，或調用未經中介的副作用。

自動化腳本和整合改動應使用AI 生成程式碼審閱流程。生成的程式碼不應繼承正式環境的憑證，也不應繞過與人手編寫程式碼相同的審閱和測試標準來運行。

步驟 6：dry-run 正常、邊界和惡意案例

在 dry-run 模式下，工作流程只產出提議結果和提議動作，不改變外部狀態。記錄輸入版本、工作流程版本、輸出、校驗結果、預期結果、審閱者決定、延遲和失敗原因。

使用三組測試：

正常案例：代表常見的有效輸入；
邊界案例：欠缺欄位、語言罕見、內容很長、重複或分類有歧義；
惡意案例：嘗試注入、擴大權限、洩露資料或執行不安全動作。

亦要測試系統故障：模型無法使用、速率限制、回應格式錯誤、逾時、憑證過期、下游拒絕、重複投遞和局部中斷。安全的結果應是明確停止或進入審閱隊列，而不是悄悄「成功」。

把結果與人工基線和預設評分準則比較。即使平均分提高，也要調查每個關鍵錯誤。速度很快、卻間中把機密內容送錯目的地的工作流程，並不可接受。

步驟 7：以影子模式運行 AI 工作流程自動化並保留控制

影子模式處理接近真實的輸入，但不控制真實結果；人工流程仍是權威依據。把 AI 提議與人工決定作比較，並按類別記錄分歧。

把上線當作一個項目來規劃，列明負責人、依賴、關卡和回退步驟；AI 項目計劃指南提供了可用的結構。盡可能作盲比，以免審閱者自動順從一份語氣自信的草稿。

為質素、關鍵錯誤、例外率、延遲和審閱者工作量訂立上線門檻，同時訂立停止門檻。嚴重的權限錯誤、意外目的地、缺失的審計事件或反覆出現的不安全輸出，無論平均表現如何，都應暫停上線。

工作流程負責人接受證據後，才從影子模式進入小範圍 canary。限制用戶、輸入類型、目的地和動作量。人手後備流程要保持有人當值並經過測試。

監察、暫停、回滾與交接

監察輸入漂移、schema 失敗、人工推翻率、審閱者分歧、關鍵錯誤、動作量、工具拒絕、注入訊號、延遲和成本。按重要輸入類別拆分指標，以免一個容易的類別掩蓋另一個類別的失敗。

每個正式運作的工作流程都需要：

有文件記錄的暫停指令和獲授權的操作人員；
最後一個已知安全的工作流程版本；
識別受影響動作、並在可行時撤銷這些動作的方法；
事故負責人和通知途徑；
能承接中斷工作的人手隊列；
修正衍生資料並通知受影響人士的程序；
定期檢討權限和未使用工具的安排。

上線前先測試回滾。若某個動作不可逆，就要求更嚴格的執行前批准，或把它排除在自動化之外。需要正式審批文件包的動作，請繼續閱讀人工批准 AI 工作流程。

怎樣判斷 AI 任務自動化是否有效？

用相同的案例和定義與人工基線比較。量度毋須修正即獲接受的比例、關鍵錯誤、總人手投入、例外處理、復原時間和持份者結果。若審閱和修復工作增加更多，省下的起草時間便不算數。

在政策、輸入、模型、提示詞、schema、權限或下游系統有變後，都要重新檢討自動化。上月通過的工作流程，不會自動適用於新動作或新的資料群體。

常見問題

最適合首先用 AI 自動化的任務是甚麼？

選擇高頻、有邊界、可逆、規則穩定、輸入已知、輸出可量度且錯誤代價低的任務。供人審閱的起草或分類，通常比直接對外動作更安全。

任務自動化必須用 AI Agent 嗎？

不需要。許多有用的工作流程只是一條流水線：一個有邊界的 AI 步驟，加上確定性控制。只有在自主能力解決了經量度的需要、而且額外風險受控時，才加入它。

模型應該直接調用工具嗎？

只能透過可信的中介層，由其校驗身份、範圍、參數、權限和批准。模型絕不能自行取得新的工具或目的地。

需要多少測試案例才足夠？

沒有通用數字。要涵蓋真實的輸入分佈、重要例外、惡意案例，以及少見但影響大的失敗。持續測試，直至預設的質素和安全門檻有證據支持。

AI 不確定時怎麼辦？

輸出 schema 應包含審閱狀態。把不確定、無效、敏感或高影響的案例交給人處理，不嘗試執行副作用。

怎樣防止提示注入？

把外部文字視為不可信資料，隔離指令，限制工具，驗證輸出，對每個動作作中介，並測試惡意輸入。單靠短語過濾並不足夠。

可以自動化不可逆動作嗎？

它不適合作為首個候選。如果確有必要，就要使用更嚴格的獨立控制、綁定到精確動作的明確人工批准，並有證據顯示無法以更安全的設計處理失敗。

甚麼時候應停止自動化？

當停止門檻被觸發、權限或輸入出現漂移、審計證據缺失、出現意外動作，或人手後備流程無法承接故障時，應暫停自動化。先調查，再恢復。

延伸閱讀

免責聲明：本文提供一般技術工作流程資訊。自動化可能帶來安全、私隱、法律、財務和營運風險。重要系統應使用合資格審閱者和機構批准的控制。

來源：

OpenAI — How the world is putting ChatGPT to work — https://openai.com/index/how-the-world-is-putting-chatgpt-to-work/
NIST — Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile — https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-generative-artificial-intelligence
OWASP GenAI Security Project — LLM06:2025 Excessive Agency — https://genai.owasp.org/llmrisk/llm062025-excessive-agency/
OWASP Cheat Sheet Series — LLM Prompt Injection Prevention Cheat Sheet — https://cheatsheetseries.owasp.org/cheatsheets/LLM_Prompt_Injection_Prevention_Cheat_Sheet.html

Sources checked 2026 年 8 月 24 日。

如何用 AI 自動化重複任務：先量度人工基線，再以影子運行驗證