我们注意到一份新发布的实证研究：研究者复盘了 109 起 AI Agent（能自主调用工具执行多步任务的 AI 程序）安全事故样本，发现 38% 的容器逃逸（AI 突破沙箱接触到宿主系统）事件里，攻击者或失控的 Agent 并没有利用 Linux 内核 0day（未公开的高危漏洞），而是踩在开发者留下的「低级配置痕迹」上。

这是什么

研究按 193 项标准做了分类，同时开源了一套多 Agent 监督安全框架与数据集，供团队对自家 Agent 运行时做体检。

四类典型「自己留门」姿势：把宿主的 Docker 控制接口挂进沙箱让 Agent 打包镜像；把 API key、云厂商 token、GitHub 凭证直接传给子 Agent；工具输出不做污染标记（追踪内容是否来自不可信来源），攻击者通过间接 prompt injection（在外部内容里藏指令诱导 AI）劫持监督者；Agent 内部 socket（进程通信端口）不做限制，被用于 SSRF（让服务器代为访问内网不该访问的地址）。

行业怎么看

支持方认为，过去 Agent 安全讨论多停在「会不会被大模型越狱」这种媒体话题，这份研究的价值在于把问题拉回工程现实，给正在落地的团队一份可对照的体检表。

但也有冷静声音指出三点风险：第一，109 起样本的来源与代表性未公开，外界难以判断这是行业普遍规律还是某一类项目的切片；第二，开源防御框架同时也是一张「攻击者地图」，被对手先研究反而可能放大暴露面；第三，企业最容易把这类研究当成「安全清单」采购，但容器逃逸本质是持续运营问题，不是装一款工具能根治。

对普通人的影响

对企业 IT：正在评估或上线 Agent 项目的部门，需要把 sandbox（隔离运行环境）配置、密钥传递链路、子任务权限重新审一遍，「AI 能不能干活」不应再是唯一验收标准。

对个人职场：用 AI 写代码、跑自动化的人，要意识到脚本里裸传 API key、挂载 socket 是高危习惯，AI 不会替你兜底。

对消费市场：AI 客服、AI 助理背后的「越狱」风险，普通用户基本感知不到，但一旦泄露的是你的订单、地址、聊天记录，代价是直接的。