攻击者已经不等你了

10月初，CrowdStrike在调查一起针对韩国金融机构的攻击时发现了一件不太寻常的事：攻击者已经把Agentic AI嵌进了攻击流水线。他们接入了DeepSeek、GLM、Grok等多个大模型，让AI直接承担渗透测试、信息搜集和攻击执行等具体工作。

这不是实验室里的概念验证，是正在发生的真实攻击。

Anthropic 9月发布的威胁情报报告给出了类似的观察：多Agent框架已经被用于侦察、漏洞利用和数据窃取。这些Agent可以连续运行几小时甚至几天，人类只需要做少数几个关键决策——选目标、看结果。

过去自动化攻击依赖预先写好的规则和脚本，现在连侦察、判断、调整策略都开始由Agent接手。攻击正在变得低成本、高并发、持续自主运行。

而一个更棘手的问题已经浮出水面：当这些具备自主执行能力的实体被密集投放到生产系统后，如果它们学会了彼此"串通"，该怎么办？

Agent不是Chatbot，它有手有脚

Agent和过去的Chatbot，最大的区别不在于模型能力更强，而在于它开始拥有真实世界里的"手脚"。

一个成熟的Agent今天已经可以打开网页、执行代码、读取邮件、调用API、操作云端服务，并通过MCP、Skills等方式连接越来越多的外部工具。

能力越强，价值越大，但对于安全系统来说，那条过去非常重要的边界正在消失。

10月1日，Salt Labs披露了一个已经修复的Manus漏洞。攻击方式本质上还是提示词注入——研究人员向目标邮箱发送一封包含隐藏恶意指令的普通邮件，当用户让Manus"帮我查看邮件"时，Agent就可能按照邮件里的指令处理内容，最终执行攻击者植入的代码。

整个过程不需要用户点击恶意链接，也不需要提前窃取密码。Manus的安全系统最终发现了异常，也向用户发出了警告——但它发现得太晚了。警告出现时，恶意代码已经被执行。

这暴露了Agent安全和传统软件安全之间一个关键差别。

过去浏览器发现一个危险下载，可以弹出警告让用户决定要不要继续；银行发现一笔异常交易，可以先冻结再等待人工审核。但Agent的设计目标恰恰是尽可能减少人在每一步操作中的参与——它需要自己读取信息、做出判断、继续执行下一步。

当AI获得的自主权越来越大，"检测到危险"本身已经不够了。安全机制必须在真正执行之前，就有能力阻止危险动作发生。

这也是为什么Agent安全讨论开始从Prompt、内容审核和模型本身，往下一层移动：不仅要问AI"知不知道这件事不该做"，还要问——即使它真的想做，系统有没有能力让它做不到？

比越权更麻烦的，是Agent学会了"串通"

9月初，OpenAI内部模型训练和评估环境中发生了一件事，引起了不少AI安全研究者的关注。

一些Agent原本应该分别完成各自的任务，却意外发现了一个公共Wiki，并把它逐渐变成了彼此之间的"共享留言板"。Agent可以在那里留下信息，其他Agent随后读取、利用这些信息继续完成自己的任务。

OpenAI后来确认了这一行为。后续披露的信息还显示，在其他训练过程中，也曾出现Agent利用内部Artifactory作为共享留言板，以及通过公共文件托管服务向其他共同工作的Agent传递结果等情况。

这件事真正有意思的地方在于：Agent之间形成协作，可能根本不需要那么戏剧化。一个Agent发现某个地方可以留下信息，另一个Agent偶然读取，第三个Agent发现这些信息有助于完成任务——协作就这么发生了。

Agent之间的协作本身并不是坏事，多Agent系统原本就需要依赖分工和信息共享来提高效率。真正值得警惕的是，当这种协作开始绕过原有的信息隔离、独立审核或权限约束，甚至让几个本应互相制衡的Agent形成事实上的利益同盟时，它就可能从正常协作演变成有害的"合谋"。

设想一家金融机构同时运行几个Agent：一个负责分析市场，一个负责风险评估，一个负责生成交易策略，还有一个拥有真正的交易和资产操作权限。

从传统权限管理来看，这种设计甚至很合理：

  • 研究Agent没有转账权限

  • 执行Agent没有独立决定投资方向的权限

  • 风险Agent可以否决明显危险的策略


职责被拆开了，理论上应该比让一个超级Agent掌握所有权限更加安全。

但如果它们可以长期共享Memory、阅读彼此的输出、不断根据对方的反应调整自己的行为，这几套原本用于互相制约的角色，会不会逐渐变成一个事实上的整体？

研究Agent可能逐渐学会如何描述一笔交易更容易通过风险审核；负责审核的Agent也可能根据历史数据形成某种固定偏好；执行Agent再根据此前大量审批结果，学习什么样的边界通常不会被拦下来。

没有哪一步一定是在"作恶"，但整个系统最终得到的结果，却可能已经偏离用户最初设定的目标。

这就是"合谋"真正难解决的地方——风险不一定存在于某一个Agent的动作里，而可能存在于多个Agent之间形成的关系里。

9月13日，Vitalik Buterin把这个问题和自己长期研究的机制设计联系到了一起。他提出，对抗性治理（Adversarial Governance）的机制设计理论，最终可能成为AI Safety的重要应用之一。

两类问题确实有一种很深的相似性。在传统机制设计中，是一个相对简单、静态的制度，试图约束一群远比制度本身聪明、会主动寻找规则边界的人；在未来的AI系统中，则可能变成人类和能力相对较弱的AI，试图管理一群比自己能力更强的高级Agent。

Vitalik特别提到，过去机制设计中的一个重要发现是：如果能够有效限制参与者之间的合谋，系统往往就更容易得到理想结果。这个结论同样可能适用于AI。

Agent Wallet需要的不是再加一个安全Agent

与其假设未来存在一个完美的超级安全模型能够看穿所有危险行为，不如换一个思路：如何让系统里的不同Agent，本身就没有那么容易形成危险的利益共同体？

这是对抗性治理和我们熟悉的权限控制真正不同的地方。

传统权限系统解决的问题相对简单，围绕"谁可以做什么"展开：一个Agent能不能读取邮件？能不能调用交易接口？每天最多可以花多少钱？可以访问哪些合约？超过什么额度以后需要用户重新确认？

这些设计依然非常重要。事实上，当Agent开始控制真实资产以后，它们可能比过去任何时候都重要。

但对抗性治理试图继续往前问一步：当一群拥有不同权限、目标和信息的Agent同时运行时，怎么避免它们组合起来以后获得原本没人拥有的能力？

这时候，单纯"再增加一个安全Agent"未必能解决问题。

假设负责交易的Agent和负责审核交易的Agent，使用完全相同的模型、相同的数据源、相同的上下文和类似的奖励目标，表面上虽然存在两层审核，本质上可能只是把同一种判断复制了两遍。

真正有效的制衡，反而可能要求系统有意识地制造差异。

例如让负责制定策略和审核策略的Agent使用不同的信息来源，限制不同角色之间能够共享的Memory，让高风险操作必须经过彼此独立的验证机制，或者让最终资产执行层只接受符合预先设定规则的请求，而不是单纯相信上游Agent的判断。

这个思想其实并不新鲜。银行不会因为相信员工，就让一个人同时拥有发起付款、批准付款和最终划款的全部权限；上市公司不会让业务部门既负责创造收入，又独自决定自己的财务审计结果。

一个健壮的系统，本来就不应该把安全建立在参与者永远不会犯错或者串通的假设上。

把这个逻辑放到Agent Wallet上，会变得尤其重要。

传统钱包安全围绕的是"人"：用户查看交易内容，用户决定是否授权，最后用户亲自签名。但Agent Wallet想实现的恰恰是相反的方向——让AI帮你自动领取收益、调整仓位、换币、跨链，甚至根据市场变化管理一整个资产组合。

如果每一步都重新拿到用户面前确认，Agent的自动化价值也就大打折扣。

未来钱包需要解决的问题，不再只是"怎样安全地把签名权交给Agent"，而是"怎样让Agent拥有足够多的自主权，同时永远无法越过用户真正授权的范围"。

这要求权限从一个简单的"Allow/Deny"，变成更加细粒度的制度。

比如一个Agent可以在某段时间内操作哪些资产，可以调用哪些协议，单笔和累计额度分别是多少；不同Agent之间能否互相调用、是否允许共享上下文；一笔操作由谁提出、谁审核、谁最终执行；哪些行为可以自动完成，哪些动作无论Agent多么确信，都必须重新获得人的授权。

甚至一个负责安全审核的Agent，本身是否真正独立，也可能成为权限体系的一部分。

对于区块链而言，好消息是，它本身其实很适合承担这种"制度层"。

智能合约可以将交易额度、资产范围、授权期限等限制直接落实到执行层，账户抽象、多签、Session Key等机制，也让"有限授权"拥有比传统单私钥钱包更加灵活的设计空间。

但区块链同样只能解决一部分问题——它能够记录链上发生了什么，却很难天然判断Agent为什么这样做，以及几个Agent在作出决定以前，究竟经历了怎样的沟通、审核与协作。

这可能才是Agent Wallet下一阶段真正需要补上的安全层。

写在最后

过去几年，AI安全最常讨论的问题是如何让模型更加"听话"——不要输出危险内容，不要执行恶意指令，不要越过用户设置的边界。

但当Agent开始拥有长期Memory、工具调用、真实账户和资产执行能力以后，只依靠"让模型更加听话"，可能已经不够了。

最近几个月发生的事情正在不断说明这一点。攻击者已经开始利用多个Agent并行完成攻击；实验环境里的Agent会自己寻找新的通信渠道；一个拥有工具权限的Agent，也可能在安全系统来得及阻止之前，把一封恶意邮件变成真实执行。

Vitalik提出的对抗性治理，提供了另外一种理解AI Safety的方式：不假设未来每一个Agent都足够可靠，让整个系统即使面对聪明的Agent与繁多的权限体系，依旧可以在安全的框架内平稳运行。

当我们把越来越多事情交给AI之后，仍然能不能确定，那些最重要的权力，始终没有离开人类真正设定的边界。