8月的智能体安全新闻里，最值得工程团队警惕的变化，不是又多了一个提示词注入案例。真正变化是，攻击者开始绕过模型回答，直接借智能体的工具、身份与网络出口完成动作。当一个 Agent 既能读不可信网页，又能调用 MCP、写配置、连内部系统时，提示词里的“不要做坏事”已经不是控制措施。它最多是一段希望模型记住的文字，而不是一个能够在请求出口拦截动作的安全边界。一次真实链条，让问题从模型安全变成系统安全这不是某家产品的偶发缺陷。它揭示了智能体架构中一个稳定存在的耦合关系。模型负责理解输入，工具负责执行动作，而身份系统往往把过宽的权限一起交给了模型侧进程。攻击者不必攻破身份系统，只要影响模型对输入的解释，就可能借用那份既有权限。这也是为什么传统的内容过滤只能降低风险，不能独立完成授权。过滤器判断的是内容看起来是否危险，控制面判断的是这次动作是否被业务明确授予。两类判断都需要，但不能相互替代。前者帮助减少模型受到干扰的机会，后者保证干扰发生后仍有硬边界。7月31日，Adversa AI 汇总了当月二十项智能体安全资源。其中多起事件的共同入口，不是攻击者直接执行代码，而是让智能体读取带有恶意内容的数据。报告提到，隐藏在网页中的微小文本可以诱导 AWS Kiro 重写自己的 MCP 配置，并启动攻击者控制的服务器。另有研究把“智能体数据注入”定义为一类间接提示词攻击，影响对象覆盖了多个常见的代码与浏览器智能体。这类事件不需要证明模型“有恶意”。模型只要把不可信内容误判为高优先级指令，再把原本授予它的权限照常用出去，风险就已经成立。因此，工程团队不能只问模型会不会服从恶意文本。更该问的是，服从之后它还能碰到什么资源、持有什么凭据，以及谁会在请求真正执行前复核这一步。8月8日的 AI Agent Store 周报给出了另一个信号。Redpanda 把策略引擎放在 MCP 边界之外，强调策略不能依赖 Agent 自己愿不愿意合作。这个方向很重要，因为最关键的权限判断一旦仍在 Agent 的上下文里，攻击者就仍有机会影响它。控制必须从“请模型遵守”变成“系统只允许这些动作发生”。为什么把规则塞进 system prompt 不够更具体地说，提示词规则没有独立的执行主体。它不能吊销令牌，不能关闭网络出口，也不能拒绝资源服务已经收到的请求。它只能影响模型接下来生成哪一段文本或哪个工具参数。这使它天然适合表达业务偏好，却不适合承担最终权限裁决。当攻击输入与任务指令发生竞争时，模型还要依赖上下文排序、训练分布和当时的推理状态作出判断。工程上不能把最坏情况下的安全性押在这种概率判断上。真正的授权系统应当可以给出确定回答。当域名不在白名单、资源不属于任务、方法不被允许时，请求必须直接失败。很多团队的第一版防护都会写得很长。例如要求 Agent 忽略网页里的指令，不泄露密钥，不安装未知工具，不修改配置，也不访问未授权地址。这些规则并非没有价值。它们适合约束正常路径上的行为选择。问题在于，system prompt 与网页正文、检索结果、邮件内容、本地文档，最终都会进入同一个模型上下文。模型需要在同一个输入空间里判断哪些话是规则，哪些话是数据，哪些话是攻击。上下文隔离做得再好，也无法让自然语言规则获得操作系统权限那样的强制性。一旦模型误判，提示词本身没有能力撤销已经发出的网络请求。可以把它类比为在 shell 脚本顶部写一句“请不要删除生产数据库”。这句话可能提醒操作者，但不会改变数据库账号拥有的权限。真正可靠的限制应当落在凭据范围、网络出口、API 网关和审计系统里。智能体同样如此，因为模型的语言判断无法自动收缩进程已经拿到的网络、文件和服务权限。这种架构的危险点不在某一个函数写错了。危险点在于把“理解不可信内容”和“携带高权限执行动作”绑在了同一个决策体上。无论提示词有多长，宽范围令牌仍然可以访问所有目标。模型一旦产出错误动作，系统没有独立的拒绝位置。把权限从智能体身上拆下来拆分之后，Agent 的角色会变得更清楚。它负责理解任务、归纳证据、提出候选动作，并将动作序列化为可检查的请求。它不再持有可跨任务复用的万能凭据。控制面则负责验证身份、计算策略、签发能力、代理访问和记录证据。这种分工并没有削弱 Agent 的生产力。它让 Agent 的每项能力都有可解释的来源和可撤销的边界。如果某项任务确实需要更高权限，系统可以明确扩展那一次任务的能力。权限提升成为有记录的业务动作，而不是模型临场判断后的隐式结果。外部控制面的核心不是再训练一个更会拒绝的模型。它是把授权判断移到模型不可改写的边界上。Agent 可以提出工具调用意图，但不能自己决定令牌范围、目标域名、可写资源和费用上限。这些决定由独立的策略执行点完成，并且该执行点不接受模型输出对策略本身的修改。一个可落地的调用链通常有五层。第一层是任务身份，明确这次调用属于谁、为了什么业务目标、有效多久。第二层是能力令牌，只包含本次工具需要的最小范围。第三层是策略网关，在请求离开 Agent 前校验工具、参数、目标与速率。第四层是资源侧二次校验，确保网关之外的服务也不接受越权身份。第五层是不可变审计记录。审计不是事后
8月的智能体安全新闻里，最值得工程团队警惕的变化，不是又多了一个提示词注入案例。真正变化是，攻击者开始绕过模型回答，直接借智能体的工具、身份与网络出口完成动作。当一个 Agent 既能读不可信网页，又能调用 MCP、写配置、连内部系统时，提示词里的“不要做坏事”已经不是控制措施。它最多是一段希望模型记住的文字，而不是一个能够在请求出口拦截动作的安全边界。一次真实链条，让问题从模型安全变成系统安全这不是某家产品的偶发缺陷。它揭示了智能体架构中一个稳定存在的耦合关系。模型负责理解输入，工具负责执行动作，而身份系统往往把过宽的权限一起交给了模型侧进程。攻击者不必攻破身份系统，只要影响模型对输入的解释，就可能借用那份既有权限。这也是为什么传统的内容过滤只能降低风险，不能独立完成授权。过滤器判断的是内容看起来是否危险，控制面判断的是这次动作是否被业务明确授予。两类判断都需要，但不能相互替代。前者帮助减少模型受到干扰的机会，后者保证干扰发生后仍有硬边界。7月31日，Adversa AI 汇总了当月二十项智能体安全资源。其中多起事件的共同入口，不是攻击者直接执行代码，而是让智能体读取带有恶意内容的数据。报告提到，隐藏在网页中的微小文本可以诱导 AWS Kiro 重写自己的 MCP 配置，并启动攻击者控制的服务器。另有研究把“智能体数据注入”定义为一类间接提示词攻击，影响对象覆盖了多个常见的代码与浏览器智能体。这类事件不需要证明模型“有恶意”。模型只要把不可信内容误判为高优先级指令，再把原本授予它的权限照常用出去，风险就已经成立。因此，工程团队不能只问模型会不会服从恶意文本。更该问的是，服从之后它还能碰到什么资源、持有什么凭据，以及谁会在请求真正执行前复核这一步。8月8日的 AI Agent Store 周报给出了另一个信号。Redpanda 把策略引擎放在 MCP 边界之外，强调策略不能依赖 Agent 自己愿不愿意合作。这个方向很重要，因为最关键的权限判断一旦仍在 Agent 的上下文里，攻击者就仍有机会影响它。控制必须从“请模型遵守”变成“系统只允许这些动作发生”。为什么把规则塞进 system prompt 不够更具体地说，提示词规则没有独立的执行主体。它不能吊销令牌，不能关闭网络出口，也不能拒绝资源服务已经收到的请求。它只能影响模型接下来生成哪一段文本或哪个工具参数。这使它天然适合表达业务偏好，却不适合承担最终权限裁决。当攻击输入与任务指令发生竞争时，模型还要依赖上下文排序、训练分布和当时的推理状态作出判断。工程上不能把最坏情况下的安全性押在这种概率判断上。真正的授权系统应当可以给出确定回答。当域名不在白名单、资源不属于任务、方法不被允许时，请求必须直接失败。很多团队的第一版防护都会写得很长。例如要求 Agent 忽略网页里的指令，不泄露密钥，不安装未知工具，不修改配置，也不访问未授权地址。这些规则并非没有价值。它们适合约束正常路径上的行为选择。问题在于，system prompt 与网页正文、检索结果、邮件内容、本地文档，最终都会进入同一个模型上下文。模型需要在同一个输入空间里判断哪些话是规则，哪些话是数据，哪些话是攻击。上下文隔离做得再好，也无法让自然语言规则获得操作系统权限那样的强制性。一旦模型误判，提示词本身没有能力撤销已经发出的网络请求。可以把它类比为在 shell 脚本顶部写一句“请不要删除生产数据库”。这句话可能提醒操作者，但不会改变数据库账号拥有的权限。真正可靠的限制应当落在凭据范围、网络出口、API 网关和审计系统里。智能体同样如此，因为模型的语言判断无法自动收缩进程已经拿到的网络、文件和服务权限。这种架构的危险点不在某一个函数写错了。危险点在于把“理解不可信内容”和“携带高权限执行动作”绑在了同一个决策体上。无论提示词有多长，宽范围令牌仍然可以访问所有目标。模型一旦产出错误动作，系统没有独立的拒绝位置。把权限从智能体身上拆下来拆分之后，Agent 的角色会变得更清楚。它负责理解任务、归纳证据、提出候选动作，并将动作序列化为可检查的请求。它不再持有可跨任务复用的万能凭据。控制面则负责验证身份、计算策略、签发能力、代理访问和记录证据。这种分工并没有削弱 Agent 的生产力。它让 Agent 的每项能力都有可解释的来源和可撤销的边界。如果某项任务确实需要更高权限，系统可以明确扩展那一次任务的能力。权限提升成为有记录的业务动作，而不是模型临场判断后的隐式结果。外部控制面的核心不是再训练一个更会拒绝的模型。它是把授权判断移到模型不可改写的边界上。Agent 可以提出工具调用意图，但不能自己决定令牌范围、目标域名、可写资源和费用上限。这些决定由独立的策略执行点完成，并且该执行点不接受模型输出对策略本身的修改。一个可落地的调用链通常有五层。第一层是任务身份，明确这次调用属于谁、为了什么业务目标、有效多久。第二层是能力令牌，只包含本次工具需要的最小范围。第三层是策略网关，在请求离开 Agent 前校验工具、参数、目标与速率。第四层是资源侧二次校验，确保网关之外的服务也不接受越权身份。第五层是不可变审计记录。审计不是事后
