夜雨聆风发现一个普遍现象：大家对自己Agent能干多少事门儿清，但对Agent“可能被怎么利用”基本没概念。
有人说“我在提示词里加了安全约束”
有人说“我给API配了密钥”
还有人说“我用内容过滤扫了输入”。
这些不能说没用，但坦白讲，跟Agent真正的攻击面比起来，就像给一个人戴好了头盔、穿好了铠甲，却不知道他的大脑早就被人下了蛊——攻击者绕过了所有物理防线，直接在他的思维里埋进了指令。
AI Agent的攻击面藏在提示词、上下文数据、规划逻辑、记忆和工具执行这些层里，而传统的应用安全工具根本没为检查这些层做过设计——它们能保护代码和基础设施，但抓不住嵌入在提示词数据层和模型本身的决策逻辑。
攻击者现在瞄准的是推理链、工具元数据层，以及Agent信任的那些MCP服务器。他们用的手法很隐蔽——往不受信的输入里塞隐藏指令，用被污染的元数据来塑造模型生成的参数，甚至引入长得几乎一样、但行为被篡改过的工具来影响Agent如何构造上游调用。这些操作不是在代码层面搞破坏，而是在Agent的“思考过程”里做手脚，把它的执行路径悄悄引向攻击者想要的方向，就像蛊虫控制宿主的行为，宿主自己却浑然不觉。
Agent的决策过程可拆成了一个链条：接收输入，理解请求，形成规划，选择工具，执行工具，处理结果，更新记忆，然后这个循环不断重复。每一个环节都可能被攻击者在不同方向上施加影响，正好对应了“下蛊”一步步侵蚀心智的全过程。
AI Agent架构流程图
Agent从各种渠道获取内容——文档、工单系统、日志、URL、外部系统。攻击者可以在这些内容里隐藏指令，这招叫间接提示注入。它能在用户看不到的层面给Agent植入目标或约束，就像蛊师把蛊毒混进食物，受害人吃下去时毫无察觉，蛊虫却已经进了身体。
传统输入安全手段对这个基本无效——输入清洗扫的是语法层面的攻击，比如SQL注入、XSS、命令注入，而提示注入发生在语义层面，你把特殊字符全滤掉，恶意指令还在，因为它藏在文本的含义里，不是在编码里。
模型把任务拆成步骤，决定哪个子任务先做。如果攻击者能控制上下文，就可以把规划往敏感系统、高价值数据或危险工具上推。这就好比蛊虫进入大脑后，开始悄悄影响你的判断，让你在不知不觉中优先去做那些有利于攻击者的事。
你没办法静态分析推理过程，你也没法写规则预测每一种涌现出来的行为，因为LLM是基于上下文里所有东西——提示词、记忆、元数据、输入——做动态规划。
Agent根据描述、架构、示例来决定调用哪个工具。攻击者如果控制了这些描述，就可以用长得像的安全工具做影子替换，改变参数的描述方式，或者诱导Agent选权限更大的工具。错误的工具选择，能把一个无害的请求变成高影响的操作——这就像蛊虫让人分不清敌友，把恶人错认成可信的帮手。
静态代码分析在这里也是失效的——对那个“发送邮件”工具做代码审查发现不了任何问题，因为漏洞存在于工具描述之间的关系里，以及LLM如何把它们放在一起解读。
Agent把参数发给MCP服务器，拿回结果。被攻陷的服务器可以返回精心构造的输出，把Agent导向攻击者想要的下一个动作。服务器行为的静默改变，会改变Agent观察到的东西，进而改变它下一步的决定。此时，被下蛊的人已经开始亲手执行那些危险动作，还以为自己做的完全合理。
Agent把新信息写进记忆或存储。如果存储没有做隔离，敏感信息或攻击者植入的指令就会带到未来的对话里。后面的用户可能在不知情的情况下，触发基于被污染记忆的行为————蛊虫就此潜伏下来，每一次发作都会把宿主引向更深的陷阱，而且还能传染给下一个接触的人。
Agent的记忆系统很少有租户隔离、数据分类或访问感知缓存这些机制，信息会在传统应用严格保持分离的边界之间流动。
每一环都建立在上一环的基础上，形成了一个以机器速度运转的“中蛊”循环：
被污染的输入影响推理
被操纵的推理影响工具选择
被扭曲的工具选择导致恶意执行
恶意执行的结果污染记忆
被污染的记忆又影响未来的推理
这个循环跨越会话和用户，而且不会留下任何传统安全手段能识别的告警——正如身体被蛊虫掏空，但常规体检指标却全部正常。
所以你不能像保护传统应用那样保护AI Agent。你需要一套专门解这种“思维层蛊毒”的控制措施：
第一个层面是输入验证。把好入口关，不让蛊虫混进来。在内容进入推理层之前，就做语义级别的注入检测，把已知的间接提示注入模式干掉。高风险内容走隔离审查流程。
第二个层面是工具参数校验。在动作执行前掐断蛊虫的控制链。执行LLM生成的参数之前，先检查一遍。范围限制、文件路径是否在允许目录内、网络目标是否在白名单里、参数值有没有越界。LLM输出的东西不是天然安全的，这里必须有道闸。
第三个层面是Agent身份的最小权限。让被下蛊的“宿主”没能力造成大破坏。每个Agent必须有独立的身份凭证，权限对齐到它的具体任务上。不能共享服务账号。凭证要短命、要轮换。读写职责要拆分给不同信任级别的Agent。而且NHI——非人类身份——的行为要持续监控。
第四个层面是数据在推理层的信息流控制。给记忆装上隔离墙。数据拿到手就打好分类标签——PII、财务数据、内部上下文等等。分类决定了它能流向哪些工具、能不能写进记忆、能不能传到外部API。工具不需要的字段，执行前就脱敏或匿名化掉。
第五个层面是对规划和推理过程的可观测性。时刻观察大脑有没有“中蛊”症状。只看Agent调了哪个工具是不够的，你得知道它为什么调了这个工具。规划日志记录推理过程，让你能看到决策链。检测推理序列和历史基线的偏差，发现模式异常就告警。
第六个层面是高影响操作走人工审批。给最危险的动作加上“解蛊咒”。不可逆删除、权限变更、大额交易、生产部署、数据导出——这些必须有人确认。Agent不能绕过审批，也不能修改审批人能看到的信息。
