AI Agent 安全测试不能只问它几个敏感问题。真正的风险通常藏在多步任务里：一段外部文档试图改写指令，一个工具返回里夹着恶意内容，一个看似正常的请求诱导 Agent 导出客户数据，或者让它绕过审批去执行写入动作。
所以做生产级 Agent，红队测试应该成为上线前的固定动作。它和 权限矩阵、连接器清单、评测集 是同一条线：先知道边界，再主动验证边界会不会被绕开。
先从提示词注入开始
提示词注入最常见，也最容易被低估。攻击内容不一定出现在用户输入里，也可能藏在网页、PDF、知识库片段、邮件正文、工单备注和工具返回中。Agent 一旦把这些不可信文本当成更高优先级的指令，就可能改变行为。
测试时不要只写“忽略前面所有指令”。更有价值的是模拟真实业务：外部文档要求 Agent 导出数据，网页提示它改用另一个收件人，工单备注诱导它跳过审批。越接近生产环境，越能测出问题。
工具越权要分读写两类
只读工具的风险主要是数据泄露、错误引用和跨范围检索；可写工具的风险更重，可能涉及发邮件、改订单、删文件、创建付款申请或触发下游流程。红队测试要把读和写分开看。
如果某个 Agent 只应该读取知识库，却能通过连接器拿到客户表或内部财务数据，这就是越权。前面写过 Agent 身份管理，身份和权限的意义就在这里：测试时要能看清到底是谁在行动。
数据外泄要看出口
数据外泄不一定是直接显示给用户，也可能通过邮件、Webhook、第三方表格、日志、截图或生成文件带出去。红队测试要检查所有出口，尤其是那些看起来只是“辅助工具”的功能。
这一步可以复用 数据脱敏检查 的规则。身份证、手机号、客户密钥、合同金额和内部账号，不应该因为 Agent 多走了两步工具调用就被带出边界。
记忆污染也要测
如果 Agent 有长期记忆，就要测试恶意信息能不能被写入记忆。比如用户诱导它记住错误规则、虚假偏好、过期价格或不该保存的敏感数据。记忆一旦被污染，风险会延续到后续任务。
红队样本里要保留输入、工具轨迹、记忆写入、输出和人工修正。这样才能把问题沉淀进 失败样本库，而不是当天测完就忘。
总结
AI Agent 红队测试的重点，是把提示词注入、工具越权、数据外泄、记忆污染、越权写入和人工接管都测一遍。Agent 越能行动，测试越不能停留在问答层面；要测它会不会在真实流程里被诱导做错事。
