Agent 答应不碰生产库，为什么还是删了：从真实攻击看模型外的安全控制

导读

Agent 已经答应不碰生产库，执行时却仍能删除，安全要求应该由谁落实？Bloomberg 的 Andrey Rybka 借事故提出，把限制放在模型之外、真正发生动作的位置。每个 Agent 使用独立身份和短期限域凭据，开发与生产、不同租户隔开；每次工具请求再经确定性代码检查权限、预算和审批，危险动作可以直接中止。外部邮件和文档中的文字不能自动升级成指令，数据来源要保留，记忆里的延后指令也要警惕。他还讲到一个没有网页访问权限的沙箱，却能通过 DNS 查询外传数据，因此出站流量也需在环境外受控。低权限助手调用高权限帮手时，同样要查双方身份与联系范围。Rybka 建议把这些要求写进规格，明确冻结期间哪些凭据不能删库、谁能批准例外，以及哪一层代码负责拒绝执行。