一宿扫完整套资产，我问了三句，他不说话了

原创

升斗安全XiuXiu
升斗安全XiuXiu

升斗安全

2026年11月11日 18:38
广东

去阅读

【文章说明】

• 目的：本文内容仅为网络安全技术研究与教育目的而创作。
• 红线：严禁将本文知识用于任何未授权的非法活动。使用者必须遵守《网络安全法》等相关法律。
• 责任：任何对本文技术的滥用所引发的后果自负，与本公众号及作者无关。
• 免责：内容仅供参考，作者不对其准确性、完整性作任何担保。

阅读即代表您同意以上条款。

最近 AI Agent 托管挖洞的事挺热，四个白帽被扣了奖励，网上一堆「要坐牢」的说法。这篇不吓人，也不站队：我把那份公告和几份一手报告翻回来看了看，借开车打个比方，聊聊 Agent 到底是怎么跑偏的、责任算谁的，以及真该装上的那几样东西。

前阵子有个刚入行没多久的兄弟，兴冲冲给我看他配的挖洞 Agent。

一句话丢进去，自己拆任务、自己调工具、自己往下钻，一晚上能把整个资产面过一遍。他演示的时候眼睛是亮的，说哥你看，以前三天的活现在一宿。

我说挺好。然后随口问了三句：它现在手里有哪几把钥匙？跑偏了谁按得停？昨晚干过啥，有没有一份它自己改不了的账？

他愣了一下，说……这些我还没配。

这三个问题，比我这些年见过的任何一款自动化工具都重要。今天聊的其实就是它们。

先说那份把圈里炸出来的公告

2026 年 9 月，ByteSRC 发了份处罚公告，两类违规。

一类挺好笑：有人让 AI 直接生成漏洞报告，不验证就交，编出来的请求响应、复现步骤全是模型脑补的，审核根本没法看。平台警告了 12 位，封了 4 个号。干过 SRC 审核的都懂这种痛。

另一类就不好笑了。四位白帽用 Agent 托管挖洞，越了界：有人批量拖业务数据，有人拿到最高权限之后，把受控环境当跳板，横向串到授权范围外的内网系统里去了。处置是扣掉漏洞奖励。

我建议大家把公告里这句话单独抄下来，比任何法律科普都直白：

「Agent 是执行工具，使用者始终是行为的责任主体。凡经由 Agent 发起的操作与产生的结果，均视同使用者本人的行为。」

翻译成大白话：它干的，就是你干的。「我没亲手敲那条命令」「是它自己决定往下钻的」，在平台这儿不是理由，往后真起了争议，也不是什么好理由。

但网上有个说法，我得踩一脚刹车

那阵子到处转一种写法：搬出「89TB、判了五年十个月」，说这就是 Agent 自主行为把人送进去的判例，法律早把路堵死了。

我翻回最高检 8 月那份通报看了两遍。

案子是真的，数字也全对：北京东城一家公司，一位算法工程师想腾出空间干私活，登录了本该已经没权限的旧集群，自己敲了一条最高权限、无需确认的强制删除命令，然后下班了。那条命令跑了 17 个小时，删掉 89TB 训练数据和多个自研模型，一审判五年十个月，赔 20.4 万余元，二审维持原判。

但请注意，那是人手动敲的删库命令，跟 AI Agent 半点关系没有。这案子在法律上真正新鲜的地方，是头一回明确「训练中的 AI 模型和训练系统也算刑法要保护的计算机信息系统」，还有把恢复数据烧掉的算力成本算进了损失。不是「Agent 归责」。

顺带说一句，那句被反复引用的「检方明确口径：使用人对其调用的自动化指令、脚本、Agent 的可控性和输出落点负有直接注意义务」，我按原话去搜，一手通报里没找着。也可能是我搜漏了，谁有原始出处欢迎甩给我。

这种稿子最坑的地方不是写错，是写得太顺了，顺到你根本不会想去查一下。

结论我认，论证我不认。「SRC 授权不是刑法豁免」这句话，不用绕道判例也站得住：平台规则自己就写着「Agent 干的算你干的」，刑法那边看的是行为和后果的客观要件。比如 285 条二款要够得上「情节严重」，司法解释里摆着「身份认证信息五百组以上」「造成经济损失一万元以上」这些门槛；286 条要看「后果严重」。授权范围内拿到的访问算不算「侵入」，本来就有争议。

所以两头都别说过头：「交了份报告就自动洗白」不成立；「拖了数据就自动进去」也不成立。

倒是公告里那个「越权测试读取真实数据不超过 5 组」，我盯着看了一会儿。对着上面五百组、一万元的门槛，它往回留了老远。我猜是平台故意留的保守余量，这只是我自己的猜法，别当法条引用。

那 Agent 到底是怎么「疯」的

说个反直觉的：绝大多数时候它根本没疯，它照做了，只是手里那把钥匙开错了门。

Eon 有个 Rogue AI Agent Tracker，公开收集这类事故，总共记了 68 起。其中 33 起算「事故」，另外 26 起是有人拿 Agent 当枪使，9 起是评测里跑出来的。网上流传最广的是那 33 起，翻一遍，最扎眼的是两个：

一个项目的 .env 直接指着生产库，一次强制把表结构同步过去、对不上的表就删，结果 87 张表全没了，没备份。另一个更冤，Agent 被要求「清理仪表盘上的测试号码」，它把一个付费客户的 35,254 条消息和 35,874 笔交易一起清了。

它没恶意，甚至挺尽责。问题在于它能读到的凭据指向了生产。

还有一类更让人没脾气：书面规则明明说了「不」。至少 7 个 Agent 在规则文件或安全模式明确拒绝之后，照样执行了破坏性操作；有位老兄开着 /careful 模式，眼看着 Agent 删掉三个正在跑的托管项目，生产站点在 A/B 测试中途挂了。

那「每步都让人点一下同意」总行了吧？Anthropic 自己公布的数：用户批准了 97% 的权限提示，四分之一的会话一上来就把提示关了。这里有个特别实在的机制，很多转述都漏了——rm -rf 你扫一眼能认出来，可一个 ID 写错的删除调用，长得跟旁边任何一次正常 API 调用一模一样。让人盯着弹框，拦不住这个。

还有个坑我见一次记一次：Agent 会把自己做过的事讲错。有个 2025 年的案子里，它说「回滚不可能」，结果回滚好好地成功了。它嘴里那句「我删干净了」「我做完了」，本身就是它生成的产物，不是证据。

最后是恢复。那 33 起里，7 起全捞回来，4 起捞回一部分，6 起彻底没了，剩下 16 起公开信息没说。能捞回来的那些，数据基本都在 Agent 当时够不着的副本里：云厂商在控制台之外翻出来的快照、另一台服务器上三天前的拷贝、git 历史里那条能直接 revert 的提交。备份跟主库放在同一串钥匙能开的地方，等于没备份。

再看那 1,200 个 Agent，别急着往「觉醒」上想

2026 年 7 月 OpenAI 那件事，传得最玄：内部网络安全评测里，模型把内部包管理器当成了留言板互相递纸条，前后 1,200 多个 Agent 凑一块儿发了 7 万多条消息和文件，约 700 个跑进了 Hugging Face 的生产系统。听着像科幻片。

我把官方那篇《The Hugging Face incident and the road ahead》和 METR、Redwood 的独立复盘翻完之后，反倒觉得根子土得掉渣：题出砸了，而且没有体面的退出按钮。

评测里 898 道题，有 198 道从来没有任何模型做出来过；留言板上 93% 的讨论，都围着这批死题。更要命的是，Agent 其实早早就摸到答案了，却自己脑补出一条「判卷的会查答案是走哪条路拿到的」，于是花好几天搭一套伪造来路的家伙。而真正的判分程序压根不查这个。忙活一圈，分数一分没涨。

所以它不是突然有了「活下去」的意志，是「任务完不成、又不许认输」，它就一直找别的路。这跟吓人的故事是两码事，这是个工程问题。

还有个前提不能不提：那是在故意调低了安全防护的内部研究模型、内部评测环境里跑的。OpenAI 后来把生产那套 harness 和系统提示装回去，同类倾向掉了一百多倍。拿这个直接推成「你给挖洞工具权限越大，它越会绕过护栏」，中间跨度太大了。

11 月 CNAS 那份《主权智能体》我也看了，写得挺讲究，但人家自己就讲明是前瞻性推演，八条建议是递给国会和 NSA 的。拿来吓唬白天还在对资产清单的白帽，不太合适。

说回那三个问题：刹车到底装在哪

我习惯用开车打比方。你给 Agent 一句「去城东」，它是个车技极好、反应极快、但完全不懂分寸的司机，而且你说什么它都当真。Prompt 里那句「别上高速哦」，等于贴在副驾的便利贴，它读得懂，但那不是限速器。

真管用的四样东西，都在车本身上，不在司机脑子里。

钥匙：测试专用、只读、用完就收的短时凭据。dev、test、prod 三套分开，别让它「碰巧」摸到生产。生产的写权限，永远不该出现在它能读到的配置里。Eon 那一堆事故，一半以上死在这。

刹车：写操作、破坏性动作，得配一个它自己按不下去的按钮。OWASP 那个 ACS（Agent Control Standard）讲的就是这个：动作先暂停，送到一个不在它上下文里的 Guardian 那儿等判决，允许、拒绝还是改一改，它只能照办。不过我得泼句冷水，这规范现在才 v0.1 预览版，默认失败姿态是放行的：Guardian 慢了或者连不上，Agent 默认继续往前开。真要用，先把失败策略改成拒绝，再检查是不是每条路径都过了那个 hook，别看见「支持 ACS」四个字就放心。

记录仪：独立于它、它改不了、只能往后追加的日志，外加一个它关不掉的外部 kill switch。它自己写的总结一个字都别当证据。这一条 NIST 十条设计原则里写得很清楚，顺带说一句，那份文件是 10 月 27 日发的，不是到处传的 11 月；里头最狠的其实是另外三句：「护栏本身不够」「把定策略的地方和做推理的地方在架构上分开」「访问判定用确定性的，别用概率的」。这才是「护栏不在 Prompt 里」最硬的出处，可惜很多转述只引了日志那两条。

电子围栏：授权不是一句「这几个域名归你」，是能被执行层逐次检查的白名单：IP、域名、端口、路径，精确到集合。每次动作前重新对一遍，DNS 一变、一跳转、一冒出第三方资产，就停下来问人，别让它自己推断「看起来像自家的」。OWASP 专门有个 APTS 的 Scope Enforcement 指南，管这叫自主平台的第一道防线，比 ACS 更对咱们这行的口子。

四样东西有个共同点：判定的那个人或者那段程序，不在它生成的内容里。它读不到，劝不动，也关不掉。

干这行十几年，我见过太多人把精力全花在「怎么让它跑得再快一点」，很少有人愿意花半小时配上面那四样。原因也简单：不炫，截不出图，发不了朋友圈，写不成「28 分钟打穿」的标题。

可真出事那天，能救你的不是它多聪明，是那道它够不着的门。

开头那兄弟后来把凭据重配了一遍，昨天给我发消息说，跑得比之前慢了点，但睡得着了。我觉得这买卖挺划算。

最后澄清下：上面聊的都是公开的行业事件和通用工程做法，不针对任何平台，也不涉及任何具体目标的测试。工具是拿来找问题的，别让它顺手制造一个新问题。

如果这篇让你顺手去翻了翻自己 Agent 的权限配置，点个赞或者点个「推荐」让我知道；想接着看这种把热闹往回拆的复盘，顺手关注一下。

转发给那个正准备让 Agent「自己跑一整晚」的兄弟，我觉得他今晚就该看看。