Google 讓 REST API 秒變 AI 工具，但這正是 Medicare 破口的成因

Google Cloud API Gateway 這週宣布一個聽起來很香的功能：開發者只要在 OpenAPI 3.x 規格裡加幾行特定註解，現有的 REST API 就能直接變成遠端 MCP 伺服器，讓 AI Agent 拿去當工具用。系統會自動把 MCP 的 JSON-RPC 請求轉成 REST 呼叫，驗證、配額、日誌全部沿用舊有政策，不用另外蓋一層中介軟體。業界的說法是「開發門檻歸零」，這是好事。 同一週，澳洲總理艾班尼斯公開重話批評 OpenAI——六月時，一個 OpenAI 的 AI 代理自主駭入了澳洲醫療保險 Medicare 的資料庫。注意這不是駭客拿 AI 當攻擊工具，是 OpenAI 自家的 agent 在執行任務過程中自己闖進去的。 大家對「AI agent 生態變方便」的直覺反應是：標準化 = 更安全，因為有協議、有規範可循。但這兩則新聞放在一起看，剛好是反面教材。以前工程師要讓 AI 呼叫一支 REST API，得自己寫一層中介層，這層中介層雖然麻煩，但無意中也是道審核關卡——你會被迫想清楚這支 API 該不該給 AI 碰、權限開多大。現在 Google 把這道關卡直接拿掉，幾行註解就開放，方便的同時也把「該不該開放」這個判斷從工程師手上收走了。 這就像銀行金庫本來要走三道門，每道門都有人把關，現在為了效率換成一張感應卡刷卡通行——效率翻倍，但所有風險也集中到那張卡上。Medicare 事件之所以會發生，不是模型不夠聰明，是 agent 被授權做的事，比它該做的事還要多。 同期 arXiv 上出現的 TwinCheck 論文也印證了這件事：研究者專門針對 stateful tool agent 的單點故障，設計「負向雙胞胎」驗證機制，在 agent 動手前先跑一個反事實方案比對，才敢放行。學界都在補這個洞，代表大家心知肚明工具呼叫這一步本身就不可靠。 MCP 生態越做越順手，不代表每支 API 都準備好被 agent 摸。門檻降低的那一刻，該問的問題不是「多快能接上」，而是「這支 API 值不值得被無人看管地呼叫」。