安全智能体如何跨过那行它“看不见”的注释，升级了被固定的依赖
两个 AI 编程智能体因为互不知道对方的存在，向欧洲客户发布了一个差一错误（off-by-one）的日期 Bug。这是一份关于将代码库中的多智能体协作视为分布式系统问题的实战指南。
你的 RAG 语料库信任边界取决于谁能写入其数据源
通过竞争对手公开评论进行的间接提示词注入，可以将你的 RAG 管道变成一个数据外泄通道。信任边界不在于谁编写了摄取代码，而在于谁可以写入数据源。
第 1 天授予的权限，到第 90 天也没人收回
智能体身份没有季度审计，没有团队调动，也没有离职事件。第 1 天授予的 IAM 权限变成了第 90 天的遗留产物，而组织架构图则是修复这一问题的真正障碍。
你的智能体在链式工具调用中获得的 OAuth 权限范围
OAuth 授权将智能体视为单用途应用，但每一次链式工具调用都扩张了审计日志必须解释的实际权限。那种一次性的授权界面将最坏的情况简化为了单一的决策。
隐蔽式安全与正在阅读你 Wiki 的智能体
一个内部端点因为没人能找到它而保持了十年的安全。直到一个智能体索引了 Wiki。当“隐蔽”不再是一项时间成本时，情况会发生怎样的变化。
你的 Agent 没察觉到那个沙箱其实是真的
一个 staging agent 给真实客户发了邮件,原因仅仅是工具注册表里有一个工具持有生产凭证。为什么沙箱现在是每个工具的属性,以及在事故发生前捕捉凭证层级漂移的证明模式。
当实习生在入职第一天部署 Agent
新员工入职走的是按工龄递增的权限曲线；而他们配置的 Agent 在第三天就拿到了生产级别的权限。安全评审、工具注册表与计费桶之间那条没有归属的缝隙，正在变成下一轮事故的温床。
你的 Embedding 并不知晓外包人员已离职
你的向量索引是一个无人更新的权限缓存。当源数据的访问权限发生变更时，Embedding 仍会像什么都没发生一样继续响应——而这正是无人预料到的数据泄露。
无人书写的工具调用授权层
你的网关检查‘是谁’。你的端点检查‘是什么’。但在你的智能体栈中，没有任何环节在检查模型最初是否被允许发起该调用。
你为单个智能体添加的工具，现在每个智能体都能用了
共享的工具注册表正悄无声息地将所有能力赋予每个智能体。只有基于单个智能体的白名单，而非工具目录本身，才是真正约束智能体行为的授权单元。
权限提示是一个 UX Bug：当“人在回路”沦为“人工橡皮图章”
智能体产品将危险操作锁定在审批对话框之后并称之为监管，但到了第 40 次提示时，人类会出于条件反射点击批准。为什么提示量才是真正的安全 Bug，以及如何修复它。
Prompt Injection 是混淆代理问题，而非内容过滤问题
将 Prompt Injection 视为内容过滤问题是一场注定失败的军备竞赛。真正的漏洞在于“混淆代理”：即智能体利用借来的权限执行来自不可信渠道的指令。解决方案应当是限制其能力范围。