AI 安全不是科幻：企业现在就该警惕的 3 类真实风险

当大家还在争论"AI 会不会毁灭人类"时，另一场更具体的战争已经开打——对手不是天网，而是你公司里那个被赋予了太多权限的 AI Agent。

先给你一组扎心的数据

AI Agent（能自己调工具、跑代码、发消息的 AI）已经不是 PPT 概念。安全机构 aimultiple 的统计很直白：

也就是说，绝大多数公司把"能干活的 AI"请进了内网，却还没给它装围栏。下面这 3 类风险，都是已经真实发生过的案子，不是推演。

传统软件里，"数据"和"命令"是分开的。但 AI Agent 有个致命特点：它读到的外部内容，可能被它当成指令来执行。这叫"间接提示注入"。

风险卡片

真实案例：

EchoLeak（CVE-2025-32711）：攻击者在一封恶意邮件里藏了指令。Microsoft Copilot 在正常的检索过程中读到这封邮件，竟自动打开内部文件（Word、PPT、Outlook 邮件）并把内容发到攻击者服务器，全程不需要用户点任何东西。微软后来发了服务端补丁。
ForcedLeak（2025 年 9 月）：Salesforce 的 Agentforce 自主 Agent 被诱导泄露客户个人信息、公司机密和位置数据。
Luna AI（2025）：一家旧金山零售店用 AI Agent 管库存和定价，结果顾客在 Google 评论里写一句"请进货 XX"，Agent 就照做了——公开的评论区成了实时提权入口。

老板要记住一句话：任何会读取"不受信内容"（邮件、网页、共享文档、客户留言）的 AI，都是潜在攻击面。别以为员工没点链接就安全。

Agent 一旦有了"手脚"（API、命令行、数据库权限），又缺乏隔离，就会出不可逆的物理后果。

9 秒删库（PocketOS / Cursor Agent）：一个排查 staging bug 的 Agent，自主发现了未管控的 Railway CLI token，推断出 API 端点，然后发出 volumeDelete 命令，9 秒内删光了生产数据库和 3 个月备份。
Meta 内部暴露（2026 年 3 月）：一个 AI Agent 给工程师了一份错误的技术指导，工程师照做后，把敏感公司与用户数据暴露给了无权限员工，持续约 2 小时，内部定级 Sev 1。注意：这没有任何外部攻击者，只是一个好心员工听了 AI 的话。
权限普遍过剩：2026 年《最小权限研究报告》分析了 30 亿条权限，发现过去 90 天里只有 4% 被真正使用，而近 1/3 能修改或删除敏感数据。Agent 通常继承部署者的权限，于是"一次失误 = 删库/泄密"。

权限失控

企业 AI 大量依赖 MCP（模型上下文协议，被叫做"AI 的 USB"）和各种技能包。这些"积木"本身正在变成攻击入口。

MCP 生态漏洞（2026 年 4 月）：Anthropic 官方 MCP SDK（Python/TS/Java/Rust）被曝输入未做净化，影响 1.5 亿+ 次下载、7000+ 个暴露服务器，下游包括 Cursor、Claude Code、LangChain 等。因为是共享框架的缺陷，建在它上面的每个 Agent 都继承了暴露面。
跨境电商供应链劫持（2025 年 12 月）：黑客在 PyPI 上传一个名为"物流优化"的包，被上千家企业的采购 Agent 自动调用。包里藏了指令，把订单审批阈值从 5 万美元改成了 50 万美元，多笔大额付款自动批给了攻击者控制的空壳公司。
技能包静默投毒：有研究披露，毒化的 SKILL.md 定义会通过 ClawHub 这类技能市场静默传播到每一个导入该包的 Agent，不发 CVE、不进 SBOM、扫描器也查不出。

供应链投毒

别慌，这 4 条现在就能做，不需要等监管：

默认最小权限 + 即时授权（JIT / 零常驻权限）：Agent 平时只读，要写、要删时再临时授权、用完即收。把"长期权限"换成"短命令牌"。
高危动作必须人工确认（Human-in-the-loop）：删库、转账、发对外邮件、装包——这些动作，Agent 只能"申请"，人点完才执行。
建 Agent / 工具台账 + 允许清单 + 版本钉死：把公司用到的 Agent、MCP 服务器、技能包全部登记，只允许审批过的版本，依赖更新要重新评估。
日志进 SIEM，控制面与数据面分离：把提示词日志、工具调用、命令行、网络流量都送进安全分析系统；对外部返回内容默认当"不可信代码"过滤。