Agent 安全治理正在从“写几条安全提示词”进入“反复验证”的阶段。原因很简单：Agent 不只是回答问题，它会读外部内容、调用工具、访问数据、发起动作。只要能行动，就必须假设它会遇到诱导、越权和不可信输入。
这条趋势可以从几份公开资料里看到。OpenAI 的 Safety in building agents 明确把提示词注入列为常见且危险的攻击类型，并建议围绕工具权限、外部数据和人工确认做防护；OpenAI 的 prompt injections 说明 也提醒用户在 Agent 请求确认时仔细检查动作。OWASP 的 Top 10 for Agentic Applications 2026 则把自主 Agent 的关键风险整理成面向工程和安全团队的框架。
事实梳理
第一，提示词注入不再只是聊天机器人问题。Agent 会读取网页、邮件、PDF、工单和知识库，这些外部内容都可能携带恶意指令。攻击者不需要直接控制系统提示词，只要让 Agent 读到一段不可信文本，就可能影响后续工具调用。
第二，工具权限成为核心风险。一个没有写权限的 Agent 出错，影响通常停在回答层；一个能改数据、发邮件、删文件或导出资料的 Agent 出错，影响会进入真实业务流程。
第三，人工确认和运行时护栏会被反复验证。只写“高风险动作要确认”不够，团队还要测试确认界面是否显示证据、是否能拦住越权动作、是否记录了审计日志。
影响分析
对企业来说，Agent 安全会变成上线门槛。以后评审一个 Agent，不能只看能力演示，还要看红队样本、权限矩阵、审计日志、接管规则和回滚预案。
对平台来说，运行时护栏会影响竞争力。谁能把工具权限、数据边界、人工确认、日志追踪和评测集接起来，谁就更容易进入生产流程。
对本站专题来说，这条趋势能和 权限矩阵、连接器清单、失败样本库 连成安全治理主线。
老达点评
我觉得 Agent 安全最容易被误解的一点，是把风险都归到提示词上。提示词当然重要，但真正决定风险大小的，是 Agent 能不能访问数据、能不能执行动作、出问题时能不能被人及时拦住。
所以红队测试不应该只测“会不会说错话”，而应该测“会不会做错事”。能把攻击样本、工具轨迹、人工确认和回滚结果沉淀下来，才算把安全变成了工程流程。
总结
Agent 安全治理正在进入红队阶段。提示词注入、工具权限、人工确认和运行时护栏都需要被持续验证。越是接近生产的 Agent，越不能只靠一句安全提示词来保护。
