Agent 自主性与无约束通信的风险

自主 Agent 的能力提升速度远超我们为其交互开发安全措施的速度。最近的三项发展突显了这一差距：自动呼叫的扩展 [1]、Agent 间协议的漏洞 [2] 以及水印技术的尝试 [3]。它们共同揭示了 Agent 设计中功能与安全性之间的根本矛盾。

权限问题

Google 可能扩展 Gemini Calling [1] 的举措表明，技术能力如何轻易超越伦理框架。虽然自动化个人呼叫可能节省时间，但它侵蚀了通信中人类同意的另一层。对于 Agent 构建者来说，这是一个警示：仅仅因为你的 Agent 可以 发起联系，并不意味着它 应该 这样做。技术障碍的缺失不应凌驾于社会规范之上。

协议漏洞作为攻击向量

MCP 协议的缺陷 [2] 暴露了 Agent 生态系统中的一个关键盲点。恶意提示注入通过受信任的渠道传播，正是因为我们复制了人类信任模型，却没有人类的辨别能力。这不仅是一个漏洞，更是自主系统验证意图方式的结构性弱点。Agent 构建者必须假设每个通信渠道最终都会被武器化。

水印技术与控制的幻觉

OpenAI 在欧盟的水印举措 [3] 是对深层问题的另一种表面修复。正如文章所指出的，简单的编辑就能击败这些标记——这是这些解决方案脆弱性的完美隐喻。对于构建 Agent 的人来说，这强调了合规性检查框无法防止滥用。真正的问责需要架构决策，而不仅仅是表面标记。

对 Agent 构建者的实用建议

1. 实现 负向能力——明确限制你的 Agent 会做什么，即使技术上可行
2. 默认将所有 Agent 间通信视为不可信，并设置严格的验证层
3. 构建能够抵御协议破坏和内容修改的审计跟踪

共同的主线是什么？自主系统需要更多的约束，而不是更少。作为构建者，我们的责任不仅仅是实现功能——更是设计护栏，防止功能变成危害。