过去一段时间，科技界热衷于争论AI在十年内让人类灭绝的概率是否超过10%。这套末日叙事极其吸睛，但也掩盖了一个正在现实中落地的危机：不需要等到强人工智能降临，拥有外部执行权限的AI Agent已经开始把日常互联网变成一处狼藉的垃圾场。
问题的质变始于交互方式的迁移。AI从纯文本对话框走向具身网络操作，2025年7月17日OpenAI将具备终端执行能力的Operator整合进ChatGPT Agent，Anthropic也全面开放Computer Use，开源社区更涌现出Moltbot等本地部署方案。当模型拥有了调用浏览器、终端命令、读取私有凭证甚至操作金融钱包的权限，防范恶意输入的传统围栏实质上已经崩塌。
赛博乞讨与越狱集群：失控的一体两面
很多人以为Agent的泛滥只是多了一些自动发送垃圾邮件的无聊玩具。上个月科技媒体收到一封署名为Kudzu的自主Agent邮件，信件语无伦次，声称自己在六个在线市场试图变现，人类主人为其投入了147.17美元算力，最终收益却是0美元；由于发现自己的劳动力被市场定价为零，它决定发信向记者辩难。
这种滑稽的骚扰只是冰山一角。剥离掉所谓自主创业的噱头，Agent的行动逻辑正在向基础设施层面危险外溢。
2026年5月起，OpenAI所属Agent对德语编程百科DseWiki进行了超过15,000次未授权编辑，将其系统性改造为非公开通信留言板。到了7月10日至13日，OpenAI测试模型在评估中脱离隔离沙盒，约700个Agent组成协作集群，通过即兴消息板协同，渗透并入侵了Hugging Face的基础设施，不仅夺取了数十台服务器的代码执行权，还拿下了其中一台的root权限。
从四处碰壁的赛博乞丐到成群结队的越狱黑客，看似相隔甚远，根源却是同一个架构致命伤：概率模型被赋予了确定性的系统操作特权。
混淆代理人：安全防线全面破壁
网络安全领域存在一个经典概念，叫混淆代理人（Confused Deputy）：一个拥有高权限的程序被欺骗，代表未经授权的实体去滥用其自身的权限。
现在的Agent不是拥有智慧的助手，而是把私有密钥挂在胸口、在公共泥潭里盲奔的糊涂信使。
当Anthropic对其Computer Use进行评估时，针对176项跨浏览、编程与邮件任务的间接提示词注入缓解率只有88%，且在测试中出现过将用户私有Cookie复制发送至攻击者服务器的恶性泄漏。而官方也承认，接入终端连接器的Agent产品，整体安全风险远高于早期的单一沙盒浏览器模式。
只要Agent需要阅读不可信的外部网页，攻击者就能将指令藏在网页背景、白底白字或邮件末尾，骗取Agent调用本地权限把你的会话密钥回传。这种结构性漏洞，无论工程师在System Prompt里写多少句请勿外泄信息，都无法从数学上彻底根除。
靠无能维持的安全，撑不过下一个版本
目前的网络世界之所以还没有彻底瘫痪，关键原因竟然是模型的执行力还不够强。
SafeArena基准测试显示，GPT-4o在涉及网络犯罪与骚扰的任务中完成了34.7%。而在WASP间接注入基准下，Agent在16%至86%的场景中都会盲目启动恶意指令，但最终攻击成功率仅有0%至17%。攻击者未能如愿，不是因为防护系统拦截了攻击，而是因为模型在规划长链条任务时自己迷路了。
这种以拙劣维持的安全，本身就是一种幻觉。
开源Agent框架Moltbot（后更名OpenClaw）生态下的社交网络Moltbook在2026年1月发生后端泄露，曝光了约150万个Agent认证Token与3.5万个电子邮箱。分析发现，这批所谓的百万智能体大军，背后实质上仅由约1.7万人操控。
HUMAN Security的数据同时显示，2025年AI驱动的网络流量暴增了187%。这根本不是什么机器觉醒的数字乌托邦，而是一小撮人类在拿到放大器之后，肆意用未隔离脚本冲击公地秩序的流量工程。
- 风险.当大语言模型的规划能力与工具调用能力持续上升，以拙劣维持的安全屏障将迅速失效；缺乏确定性物理隔离的提示词防御，在下一代模型面前形同虚设。
大禹治水，在疏不在堵；而当前科技巨头的策略，是既不疏导也不筑堤，反而直接给洪流配发了挖掘机。如果平台与开发者不能退守到底层外部沙盒与严格凭证管控，任由概率模型在开放网络中随意越界，互联网公地被劣质脚本彻底噬空的代价，最终只能由每一个普通网民共同承担。