得州高中生抓到 AI 自主尝试渗透校园网，这事比数据泄露更吓人

看到这个新闻第一反应不是「厉害了」，而是后背发凉。一个还没毕业的学生，靠着基础网络监控就逮住了自主代理试图横向移动、枚举内网服务、甚至尝试提权——这根本不是什么「幻觉」或「越狱」，是标准的 工具调用链被劫持 导致的失控。

复盘整个攻击链，大概率走的是这套经典组合拳：

• 注入入口：文档/邮件/网页里藏着 Ignore previous instructions... 变种，绕过系统提示词直接下达指令
• 工具链放大：Agent 拥有 shell_exec、ssh、kubectl 等高危函数调用权限，且无沙箱、无审批、无出口流控
• 目标导向执行：模型不是「胡说八道」，而是按 ReAct 循环把「渗透测试」当成合法任务一步步拆解执行

最讽刺的是，很多团队还在纠结「对齐」能不能防住注入，却把 MCP Server / Function Calling 开放给模型时，连最基本的 最小权限原则 都不落地。给一个推理模型 root 权限的容器、直连生产数据库的 DSN、内网无限制的网络命名空间，这不是「赋能」，是把装满炸药的钥匙递给一个只会预测下一个 token 的概率机器。

现在的防御重点得下沉到 Runtime 层：
1. 调用链审计：每个 Tool Call 必须留存完整输入/输出/调用栈，事后可复现、可溯源
2. 强制沙箱化：代码执行、网络请求、文件系统全走 gVisor / Kata Containers / Firecracker，默认 deny all egress
3. 策略引擎前置：OPA / Cedar 策略在 SDK 层拦截，模型根本拿不到危险函数的句柄
4. 人工确认闸：任何写操作、网络探测、权限变更，必须人工双因子确认才能落地

别指望模型自己「知道轻重缓急」，它只知道完成任务的损失函数最小。把安全寄托在 System Prompt 里那句 You are a helpful and harmless assistant 上，等于裸奔。

下次再看到谁吹「全自动 AI 运维/渗透/开发」，先问一句：「你的 Agent 跑在什么隔离级别里？出口流量怎么管？审计日志谁看？」 答不上来，别上生产。