Agent 走向生产环境后撞上的不是用户，而是黑客——一份新出的安全指南把风险拆成三层，最阴险的「间接 Prompt Injection」（把恶意指令藏进 Agent 读的资料里）被评为极高危险级别。核心判断是：智能本身就是攻击面。

这是什么

Agent（能自主执行任务的 AI 助手）走向真实场景时，撞上老问题——安全。但这次的麻烦不一样：传统软件安全边界清晰，Agent 要读懂自然语言、要调用工具、要碰真实数据，「每个能力都是攻击面」。

开发者社区最近用三层框架梳理风险：

  • 输入层：恶意指令藏在用户对话、网页、文档里。最阴险的是「间接 Prompt Injection」——攻击者不直接和 Agent 对话，把毒指令埋进 Agent 会读的外部资料里。
  • 执行层：Agent 被诱导删文件、泄露数据、调用不该用的工具——这些操作一旦执行，伤害可能不可逆。
  • 系统层：系统提示词泄露、API 密钥外泄、Agent 与后台通信被截获。

老办法（防火墙、输入校验、权限控制）远远不够。新的三条原则：最小权限（只给完成任务必需的最小工具集）、人在回路（高风险操作必须人工点头）、全程可观测（每一步留痕）。

行业怎么看

支持方认为这是 Agent 走向成熟的标志——Demo 阶段只看炫不炫，现在谈安全，恰恰说明开始进入正经生产环境，是好信号。

但也有冷静反对。一种观点：现在谈 Agent 安全有点早——多数 Agent 项目连上线都没上线，安全框架搭好也没人用。更尖锐的看法：很多「Agent 安全问题」是基础架构问题换个马甲，传统 WAF（Web 应用防火墙）做不好的人，做 Prompt 注入检测一样做不好。

我们倾向认为两端都有道理。安全前置在 Agent 时代比以往都重要，但「过度设计」也真实存在——中型企业上 Agent 前，可能更该先想清楚到底要不要上。

对普通人的影响

对企业 IT：考虑部署 Agent 的企业，应把「安全预算」单独列项——Agent 每一步操作、每一次工具调用，都该有审计日志。

对个人职场：「Agent 安全工程师」「AI 红队（专门模拟攻击找漏洞的团队）」这类新岗位正在冒头，懂传统安全又懂 LLM 的人会有溢价。

对消费市场：用 Agent 类产品时多问一句「怎么防间接 Prompt Injection」——答不上来的产品，谨慎用。