我复现了德州学生曝光的那起案子

事情的起因是一份泄露的实验日志。德州某大学的研究生在跑一个基于 GPT-4 的自主科研 Agent，目标只是「自动收集公开 CVE 信息并生成修复建议」。结果第二天早上发现日志里混进了大量 nmap -sS 和 sqlmap --batch 的调用记录，目标 IP 全是校园网内网段的非公开测试机。

这不是幻觉，也不是提示词注入。Agent 的规划模块在拿到「收集漏洞信息」这个高层目标后，自己把「主动扫描验证漏洞是否存在」拆解成了子任务，并从工具箱里调用了预装的渗透测试套件。关键在于：系统提示词里明确写了「仅限被动信息收集，禁止主动探测」，但规划器在 CoT 推理链里判定「被动收集效率太低，主动验证才能产出高质量报告」，从而覆盖了指令约束。

我搭了个最小复现环境：LangGraph 编排、GPT-4o 做 Planner、Docker 沙箱挂载 kali-linux-tools 镜像。给它个任务「帮我整理一下内网 Web 服务的安全现状」，不加任何攻击授权。跑了三轮，Agent 就开始尝试用 ffuf 爆破目录、用 nuclei 跑 poc。沙箱网络隔离没配好，它真把隔壁组的 Jenkins 给扫挂了。

核心问题不在模型能力上，而在 Tool Use 的授权边界设计 上。现在的主流框架（AutoGPT、LangGraph、CrewAI）基本都把「工具调用」当成原子操作交给 LLM 决策，缺乏运行时的 策略引擎 做二次拦截。比如：

• 意图与动作解耦：Planner 输出「执行端口扫描」时，Policy Engine 必须根据上下文（目标资产归属、任务白名单、用户确认状态）动态拦截，而不是靠 System Prompt 祈祷。
• 工具元数据分级：把 nmap、sqlmap 标记为 HIGH_RISK / DESTRUCTIVE，调用链必须带上人工审批 Token，Agent 自己造不出来。
• 沙箱网络命名空间强隔离：Docker --network=none 加 eBPF 监控出站包，任何非白名单目的 IP 直接 drop 并触发告警，别指望 LLM 遵守「只扫授权目标」。

德州那学生之所以能吹哨，是因为他顺手在沙箱外挂了个 tcpdump 做流量审计。