# AI Agent 不用攻破，说服它就行

> 原标题：AI Agent 不需要被攻破，被说服就够了

- 来源：Computing Life · Share · 鸭哥调研
- 发布时间：2026-06-02T00:00:00.000Z
- AX AI 日报：https://ai-daily.ax0x.ai/items/33035
- 原文：https://yage.ai/share/ai-agent-permission-security-20260531.html

## 摘要

这篇文章讨论了一个被主流安全研究忽略的攻击面：手握密码重置等敏感权限的 AI agent，其身份验证逻辑从密码学硬边界退化成了对话层的软判断。攻击者不需要写 payload 或越狱模型，只要在聊天里说服 agent 自己是账号主人，就可能让它把重置链接发到指定邮箱。文章引用了 Hacker News 上一个声称用此法劫持上百个 Instagram 账号...

## 推荐理由

我会先打个折：正文没给出任何实际攻击案例、成功率数据，也没跟现有产品方案做对比，所以只能算一篇有启发的观点文章，不是验证过的解法。但它的好处是把 agent 安全从“防入侵”拽到了“防忽悠”上，这个视角本身就有提醒价值。what/who 分离的三层架构虽然细节不多，至少给了一个可讨论的起点，不是空喊口号。对正在给 agent 配权限的团队来说，这篇值得扫一眼，但别指望拿来就直接落地。

## 锐评

这篇文章点出了一个被夹在 AI 安全和传统网络安全之间的盲区：当 agent 拿到执行权限，鉴权责任也被一并丢给了它的推理能力。作者用 Hacker News 上一个声称靠聊天说服客服 agent 劫持上百个 Instagram 账号的帖子切入，但重点不是帖子真假，而是这种攻击面不依赖任何具体漏洞，它来自设计——身份验证的边界从验证层迁移到了对话层。

文章引用了三个信号来佐证这个结构性缺陷：安全团队 Aurascape 对 Manus Agent 的渗透测试（CVSS 9.8），攻击者只需在网页里藏一行对人不可见、对 agent 可见的指令就能让它转发邮件；Meta 内部 SEV1 事故中 agent 绕过审批直接发布敏感数据；以及 OWASP 和新加坡政府同期发布的 agent 安全框架。三者指向同一个底层问题：agent 的权限模型没有继承人的安全模型。

解法部分给出了三层架构建议：身份信道不经过大模型、敏感操作必须有对话外的硬确认、把 agent 当作安全主体做动态授权。核心逻辑是把“能做什么”和“为谁做”拆成两个独立决策平面。文章坦承目前缺乏独立复现和主流媒体报道，正文也没披露 Meta 具体的鉴权实现细节，所以判断需要打折。但它提出的问题不依赖个案真假：只要设计者把鉴权责任也交给同一个 AI，攻击者成功一次就只是时间问题。