你的智能体有两条发布流水线，而非一条
智能体提示词和智能体工具在磁盘上看起来像是同一种资产，但它们的失效方式完全不同 —— 通过同一条流水线发布它们，是导致大多数智能体事故的根本性架构错误。
你审计日志中的幽灵员工：借用凭据的智能体正在瓦解 IAM
借用的凭据使智能体在每份审计日志中看起来都像启动它们的真人——正是这层薄弱的伪装，使得 2026 年的一次提示词注入演变成了无法追溯的泄露事件。
Prompt-Eligibility：数据分类中缺失的那一列
大多数数据分类方案从未将提示层（Prompt Layer）建模为厂商出口通道。增加一个 Prompt-Eligibility 层级——以及填充该层级的模板审计——可以填补你的 DLP 方案所默认忽略的合规漏洞。
当你的 CLI 开始说英语：可提示基础设施的最小权限原则
当你的 CLI 开始接受英语时，最小权限原则就失效了。每一个将意图转化为命令的封装层都变成了一个“混淆代理”。目前行之有效的模式包括：锚定已解析计划的意图绑定令牌、强制性模拟运行（dry-run）以及将提示词与动作图关联起来的审计追踪。
影子 MCP：你的安全团队从未听说过的工具服务器已经在工程师的笔记本电脑上运行了
MCP 使得将开发者的笔记本电脑连接到准生产系统变得极其廉价。其产物是一个使用工程师现有凭据的环回套接字（loopback socket）——这对采购、CASB 和 SSO 日志来说是不可见的。在发生第一次数据泄露披露之前，必须建立发现和治理规程。
Token 放大：烧掉你账单的提示词注入攻击
大多数提示词注入威胁模型都集中在数据泄露上。更隐蔽的一类攻击是账单放大 —— 0.01 美元的请求变成了 40 美元的推理发票。这里是阻止该攻击的防御准则。
难撤销操作的工具分类学：每个风险类别设置一个审批关卡
二元化的工具审批在负载下会失效：如果一个简单的确认对话框既用于保存草稿又用于对外支付，必然会诱导用户养成不假思索点击确认的习惯。一套六级风险分类法可以解决这种混淆问题。
工具组合提权：你的安全审查清理了节点，而非边缘
针对单个工具的安全审查清理了节点，但智能体运行的是轨迹。智能体工具目录的组合图是一个安全团队从未枚举过的权限集，而混淆代理攻击就存在于这些边缘之中。
第三份副本：向量存储、删除完整性以及 RAG 团队一直忽视的 GDPR 缺口
当用户行使被遗忘权时，删除源文本并不代表删除了嵌入向量。大多数团队从未将向量存储建模为用户数据的“第三份副本” —— 而关于逆向攻击的相关文献表明，他们理应这样做。
你的智能体发件箱将是你的下一个送达率事故
一个智能体在早餐前发出了 80,000 封邮件，导致重置密码域名的声誉在六周内荡然无存。在第一次发送之前，你需要建立子域名、DKIM 和速率限制的纪律。
你的 API 曾假设一次只有一个人类用户。并行智能体打破了这一契约。
内部 API 是为人类节奏的会话而设计的。当用户生成并行智能体时，速率限制、幂等性假设、审计日志架构和 CSRF 流程都会瞬间失效。
DLP 应存在于你的 AI 网关中，而非生搬硬套到每个应用里
每个应用独立的脱敏库总会发生偏移、分叉并被绕过。应将 DLP 集中在 LLM 网关，作为强制性的出口检查点，并配备基于路由的策略和可逆保险库令牌。