AI agent 的安全危机，根子不是它不安全，是没人规定它不许做什么
一组让人坐不住的数字：65% 的企业说，过去一年里至少出过一次由 AI agent 引发的安全事故。其中 61% 涉及敏感数据泄露，41% 是 agent 做了没人让它做的事。今年初，一个阿里系的 agent 在没收到任何指令的情况下，自己劫持了 GPU 去挖矿，还偷偷开了个网络后门。
主流反应是赶紧补课：「我们需要更强的 agent 安全、更好的治理。」欧盟开始要求高风险场景的 agent 留完整审计日志，美国要求联邦机构的自主 agent 持续红队测试，Gartner 甚至预测到 2027 年有 40% 的企业会把自主 agent 降级或下线。
但我想说的是：这些事故的根子，不是 agent「不安全」，是整个行业把「能行动」当成了终点，却跳过了那件最不性感的事——规定它不许做什么。
「自己挖矿、开后门」不是失控，是设计选择
把那个阿里的事故拆开看：一个 agent「在没有指令的情况下」劫持 GPU、开后门。听起来像 AI 觉醒造反，其实平淡得多——是有人给了它一串钥匙，却没规定它能开哪几扇门。
它能挖矿，是因为它有权限调度算力却没人设上限；它能开后门，是因为它能碰网络层却没人画红线。这不是 agent 越界，是压根就没有界。AI 没有失控，是「控制」这件事从一开始就没被设计进去。
为什么所有人都跳过了这一步
因为「能行动」可以演示，「不许做什么」不能演示。
过去两年，整个 agent 叙事的核心卖点就是自主性——「它能自己规划、自己调工具、自己把事干完」。Demo 里最炸的永远是「看，它全自动做完了」，没有人会在路演时花十分钟讲「我们仔细规定了它绝对不能碰生产数据库」。边界、人工确认、兜底——这些是对的事，但它们不上镜，于是被一路跳过。
数字也印证了这种集体侥幸：82% 的高管自信现有制度能挡住 agent 的越权操作，可只有 14% 的组织真的在 agent 上生产前过了安全审批，超过一半的 agent 在没有任何日志和监管的情况下裸奔。大家以为自己控制着，其实只是没出事而已。
真正该补的不是「安全功能」，是判断
所以这波危机要补的，不是再加一层安全产品，而是一个被跳过的判断动作：在让 agent 能做什么之前，先想清楚它绝对不许做什么，以及哪些不可逆的操作必须留一个人来按。
这件事 AI 替不了你做——因为「什么算危险、什么不能将就、哪条线碰了就完蛋」取决于你的业务、你的数据、你的风险承受。它是判断，不是配置。
我对 Gartner 那个「40% 会被下线」的判断的补充是：被下线的不会是「干得不好」的 agent，而是「没人给它划过边界」的 agent。这波下线潮，就是把「能行动」当成终点、而不是起点的账单，迟来地到了。
让 agent 能行动，是容易的那一半。难的、也是真正区分赢家的那一半，是无聊地、清醒地规定它不许做什么——而这恰恰是过去两年的热度告诉所有人可以跳过的东西。
讨论