AI 代理的"狂野西部"时代

你有没有想过：你辛辛苦苦开发的 AI 代理，表面上看似帮你处理会议、调研竞品、自动填表——但它可能正被网页上一句不起眼的评论、Twitter 简介，甚至是 Google 广告里的悄悄话操控。

这种威胁不是科幻情节。网络安全研究人员最近发了篇论文，就是专门讲这个的：AI 代理正面临全新的攻击面。

为什么你的 AI 代理像走进雷区

现代 web 代理有个天然的特性：它们把自然语言当成指令来执行。但问题是，互联网上到处都是自然语言——大多数是无害的，但总有那么一小撮，被攻击者精心设计，专门用来骗你的 AI 泄露数据、篡改设置、甚至偷偷下单。

安全圈管这叫跨站提示注入。听起来高大上对吧？其实它跟老前辈 XSS（跨站脚本攻击）是一脉相承的——XSS 从90年代就开始折腾 web 安全了，本质就是"把可信内容和不可信内容搅在一块儿，早晚要出事"。提示注入不过是换了身新衣服，同样的配方。

那为什么搞不定呢？因为网页本来就乱啊。同一页面上，可能同时塞着你的代码、第三方组件、用户评论、嵌入推文、广告——乱七八糟缠在一起，跟储物间里的圣诞彩灯似的。

Prismata：给 AI 代理装上安全闸门

Stanford 的研究团队搞出了个东西叫 Prismata，核心思路是从经典计算机安全里抄作业——最小权限原则。传统系统里，这原则的意思是"程序要啥权限就给啥，一丁点都不能多"。

Prismata 把这招搬到了 web 代理上，回答两个关键问题：

1. 这个代理应该信什么？
2. 这个代理能干什么？

动态信任标签：自动读懂网页结构

Prismata 不用开发者手动给每个网页内容打标签。它会实时分析页面结构，自动给不同内容块分配"信任等级"。

打个比方：就像公司的门禁系统。代理的核心指令是最高权限，隔壁博客的评论区？顶多给个访客卡。

妙在哪呢？Prismata 的结构化限制保证了一个铁律：信任等级只能往下掉，不能往上爬。就算系统哪天脑子抽了，标签打错了——那也只会让内容变得不太可信，绝不会让它反而获得更高权限。数学上保证了安全边界，攻击者想靠标签错误翻盘？没门。

机械执行：没信任就没权限

标签打好了，接下来靠过滤和能力限制两道关卡来执行。

不可信的内容，在代理看到之前就直接删掉。代理的各项"超能力"（比如能不能发邮件、能不能填表）也要看当前上下文的信任等级来开关。

举个例子：就算有人把恶意指令藏在 YouTube 评论区里，代理会自动当没看见。但同页面上那些正经功能？照用不误。

搞 AI 的开发者看过来

如果你在做 AI 驱动的 web 应用，或者在评估第三方代理来自动化工作流，这篇论文告诉你：正经的 AI 安全该长什么样。

现在流行"氛围编程"、AI 辅助开发，代理越来越能干，也越来越 autonomous。没有 Prismata 这类框架，等于你在派一群员工出去干活，但这帮人分不清社交工程攻击和正常对话。

研究团队拿 Prismata 跟已知的 web 代理攻击手段硬碰硬，包括攻击者试图绕过防御的"升级版"套路。结果还不错：攻击成功率大幅下降，合法任务也能正常跑。这个平衡点，很多安全方案根本做不到。

总结

Web 代理很强大，但它们也是新开辟的攻击面——把人类生成的 web 内容的不可预测性，和 AI 系统的一根筋 obedience 凑一块儿了。

Prismata 给出了一个挺靠谱的思路：默认把整个 web 当威胁模型，从结构里推导信任，用技术手段强制执行限制。

如果你在构建或部署 AI 代理，这种安全思维方式是必须掌握的。Web 不是为 AI 代理设计的——但这不代表我们拿它没办法。

Prismata 由 Corban Villa、Alp Eren Ozdarendeli、Sijun Tan、Raluca Ada Popa 四位研究者开发，论文已挂在 arXiv 上。