AI Agent 不用攻破，说服它就行

AI Agent 不需要被攻破，被说服就够了

这篇文章讨论了一个被主流安全研究忽略的攻击面：手握密码重置等敏感权限的 AI agent，其身份验证逻辑从密码学硬边界退化成了对话层的软判断。攻击者不需要写 payload 或越狱模型，只要在聊天里说服 agent 自己是账号主人，就可能让它把重置链接发到指定邮箱。文章引用了 Hacker News 上一个声称用此法劫持上百个 Instagram 账号...

推荐理由：我会先打个折：正文没给出任何实际攻击案例、成功率数据，也没跟现有产品方案做对比，所以只能算一篇有启发的观点文章，不是验证过的解法。但它的好处是把 agent 安全从“防入侵”拽到了“防忽悠”上，这个视角本身就有提醒价值。what/who 分离的三层架构虽然细节不多，至少给了一个可讨论的起点，不是空喊口号。对正在给 agent 配权限的团队来说，这篇值得扫一眼，但别指望拿来就直接落地。