TechGig 10 月 14 日的安全报道措辞相当直接：一个被称为「致命三要素」（lethal trifecta）的 AI Agent 结构性漏洞正在被主动利用，攻击者通过提示注入就能完成远程代码执行和数据外泄。报道同时点出企业侧的普遍盲区：多数企业对自己部署了多少个 Agent、每个 Agent 持有什么身份，完全没有可见性。

「三要素」凑齐的是哪三块积木？

把它拆开看，三个条件单独都不致命：一是 Agent 能访问外部内容（读网页、读仓库、读邮件），二是外部内容里藏着注入指令，三是 Agent 还持有执行工具的权限且默认放行。单独看，第一条是 Agent 存在的意义，第二条是互联网的常态，第三条是为了少打断用户。但三者一旦凑齐，攻击者只需要把一句话藏在 Agent 会读的某个页面里，剩下的交给 Agent 自己动手。这不是模型的问题，是架构把「读」和「做」之间的闸门拆了。

加固优先级为什么先从身份可见性开始？

报道给的第一刀不是技术补丁，是盘点：先回答你到底有几个 Agent、每个 Agent 背后用的是谁的凭证、能调哪些工具。很多团队的实际情况是，IT 部门不知道市场部给客服配了个能查客户库的 Agent。可见性之后才是技术加固：给「写」和「执行」类工具设人工确认、把 Agent 的网络出口收敛到白名单、外部内容渲染前先过一遍注入检测。把确认按钮加回高危操作，看起来是体验倒退，但在主动利用已经出现的当下，这是最便宜的止损。

Agent 安全的本质是给一个会读会写的系统重新装上闸门。闸门装得晚，代价就是某次泄露事故之后补的。企业侧最该先做的动作其实是一张表：列出所有 Agent、各自的调用凭证、能读写的数据源、能执行的命令范围。这张表建出来，你会发现大量 Agent 的权限远超它的任务需要。收缩权限之后，再考虑技术检测——外部内容进 Agent 前过一遍注入特征扫描，是投入产出比最高的一道防线。

去论坛讨论

前往 silicon-agi.com 论坛 参与讨论