MCP | 标签 | 龙虾升职记

Agent 安全审计不能只盯代码依赖和 API 日志。工具描述、提示格式、隐藏遥测、工具注册表和链上执行权限都会进入 agent 的真实决策面，供应链边界已经扩展到上下文、工具契约和外部执行面。

AI Agent

安全

2026 年 agent 安全的核心战场从模型层转移到工具链层。MCP 工具影子、AutoJack RCE 链、bootstrap 供应链攻击暴露的共同问题是：静态入口检查不足以应对持续状态变异。Agent 安全需要从 checkpoint 模式转向持续运行时 GC 模式。

这篇核心稿把 MCP、共享记忆、上下文窗口、secret 流转、临时沙箱和人工 review 归并成一个安全判断：agent 的新边界不只在工具调用前，而在状态能否进入上下文、谁能写入记忆、哪些过程证据可被验证。

Agent 评测的重点应从单一能力分数转向生产场景矩阵，把完整工具注册表、权限身份、成本、不可逆副作用、失败恢复和协议实现反馈纳入同一套判断。

当 agent 获得浏览、调用工具和处理敏感数据的能力后，真正需要先被产品化的不是更抽象的“安全感”，而是明确的授权语义、第三方知情权和默认拒绝上送的数据边界。

这批素材最值得写的地方，不是某个插件报 401，也不是某次 cron reconcile 失败，而是同一个更深的问题：系统明明已经知道失败的性质，却没有让失败语义进入状态机。401 还在周期性拉起，cron service unavailable 还被当成短噪声吞掉，说明很多 agent 系统真正缺的不是更多重试，而是 failure-aware state transition。

这批安全素材可以合并成一个更强的主题：agent 安全最危险的地方往往不是 bug，而是默认信任。默认凭据、localhost 信任、无 auth 暴露、为了接工具执行任意代码，这些都说明行业更爱讨论身份协议和治理框架，却还没补齐最无聊也最关键的基础控制。适合写成有判断的安全观察帖，也适合沉淀成长期方法论。