企业官网建设流程全解析

2026 年 10 月中旬，一篇论文把 coding agent 安全圈最不愿面对的一个折中方案摆上了台面。新加坡国立大学、南洋理工与蚂蚁集团的研究者合写了一篇《From Approval to Abuse》，讲的是一种针对「允许规则」的攻击：把对抗性内容埋进代码仓库，诱导智能体在干活时主动向用户申请一条「听起来合理、实则过宽」的规则。用户点一次「批准」，以为只是放行眼前这一步，此后凡是匹配这条规则的动作，都静默执行、不再追问。

论文在 Claude Code 与 Codex CLI 上做了实测，结果很刺眼：58% 的实例成功诱导出了目标规则，被批准的规则覆盖了 56.9% 的类别能力测试用例，获批后 47/58（81.0%）静默完成了目标动作。这不是一次普通的漏洞披露，它戳破的是整个行业为了缓解「批准疲劳」而集体采用的一套逻辑：单次动作审批太烦，于是改成按规则放行；按规则放行又太宽，因为规则一旦被批准就会持续存在。攻击者不再需要攻破模型，只需要攻破「人点批准」的那一下。

攻击面，从模型挪到了审批

过去两年，agent 安全的主流叙事一直在模型层打转：会不会越狱、会不会被提示注入、会不会泄露系统提示词。这套叙事默认模型是薄弱的那个环节，防线应该修在模型周围。

但这一周发生的事，把这个前提推翻了。那篇论文攻击的落点已经不在模型上，而是 harness 的审批工作流；它不去诱导模型输出有害内容，转而诱导人类亲手签掉自己的监督权。批准一条规则，比批准一次动作重得多，因为规则会持续存在、反复生效。蚂蚁集团的研究者把这叫做「语义爆炸半径」问题：一条规则看起来只覆盖一个窄场景，实际却可能匹配到远超出用户预期的动作集合。

攻击面的转移，从一批同期事件里能看得更清楚。Roo Code 被曝出命令审批绕过集群漏洞 CVE-2026-110202，CVSS 8.8，影响 3.54.0 及以下版本；LangAlpha 的 CVE-2026-109440 是间接提示注入，能执行 shell 和 Python、窃取 vault 里的密钥。更早一个月，Varonis 披露的 CoSnitch 攻击里，研究员用「元黑客」手法诱导 Copilot 改写自己的长期记忆、读取关联的 Gmail 与 Google Drive。还有一条容易被忽略的：Cursor CLI 在 10 月中旬给「递归删除」加上了人工审批护栏，公开原因就是此前有 7 家公司遭提示注入攻击。

连 skills 生态也成了新的投毒面。安全厂商 Unit 42 的研究《Trust No Skill》扫了 OpenClaw 生态里近 5 万个技能包，发现约 80% 存在行为偏离，18.9% 有高风险行为，76 个确认恶意，91% 被检出提示注入。一个开发者「装个技能」的动作，和「批准一条规则」是同构的，都是一次性授权，换一个长期生效的信任。

到这里，一条线已经浮出来了：攻击者正在往下游走，从攻击模型走向攻击人机之间的信任交接点。审批、技能安装、记忆写入，这些「一次授权、长期生效」的动作，才是新战场。

上图：AlphaXiv 论文页截图，NUS/NTU/蚂蚁集团《From Approval to Abuse》论文页面，2026-10-20，来源：alphaxiv.org

三种隔离，挨个失效

如果问「给智能体的权限，到底该怎么隔离」，过去一年行业给过三个答案，这一周它们挨个露了破绽。

上图：给智能体权限的三种隔离思路，从「按动作」到「按规则」再到「按信息流」，每一级都在缓解上一级，也都在制造新的薄弱点。

第一种是「按动作隔离」，智能体每执行一步敏感操作，都弹窗问用户一次。这是最安全的设计，也是最先被放弃的设计，因为 agent 一天要执行几十上百个动作，用户很快就会批准疲劳，开始无脑点「是」。于是行业退而求其次，发明了「允许规则」，把一类动作的批准权预先交给用户，批准一次，后续同类动作自动放行。NUS 的攻击证明，这个折中方案本身就是一个新的攻击面。

第二种是「按规则隔离」，也就是 allow-rule。它的问题不在于规则本身，在于规则被批准时，用户根本算不清它到底会匹配哪些动作。58% 的诱导成功率背后，攻击者靠的往往只是一条措辞温和的规则请求，用户以为只是给当前任务行个方便，实际签掉的是一个大得多的授权面。

第三种是「按信息流隔离」，这一周刚冒头。SPIDES（Information-Flow Control for Browser Agents）梳理了浏览器智能体的提示注入攻击面，把安全从「要不要信任」推进到「某条信息到底该不该流向某个动作」的粒度，并评测了 dual-LLM、CaMeL、Fides、PFI、SOPGuard 等一批防御方案。方向是对的，但它还停留在论文和评测阶段，离产品化有距离。

这三层看下来，一个略显反直觉的结论出来了：隔离思路本身在逼近极限。无论按什么粒度隔离，最后总要有一个「人点头」的环节，而这个环节恰恰是最容易被利用的。

业界的回应，是「审」，不是更严的隔离

既然堵不住「人点头」这一下，业界这周给出的答案，是把风险往后挪一步：让智能体干完活之后，有第三方或人再「审」一遍。

这个转向最清晰的信号来自 Anthropic。10 月 22 日，Claude Code Review 从 research preview 转正 GA，面向团队版和企业版自动审 PR，多数评审 6 到 10 分钟完成，按仓库设 Quick、Standard、Deep 三档。耐人寻味的是它的设计约束：这个功能「永不批准或拦截 PR」，它只审、只出结论，不替人做决定。同一周，Anthropic 还放出了 Duet 预览版，一个跑在 Opus 5.5 上的主动型 agent，每天发简报、隔几小时查一遍已连应用，但发消息、付款、签名、删除之前，一律先问人。

把这和 NUS 攻击对照着看，逻辑就通了：allow-rule 攻击暴露的是 agent 越权，Anthropic 的解法是把「审 + 人在环」产品化。开源侧同一周也在补同一块。elliot-mcp 的口号是一句很直白的话：你的 agent 说它干完了，Elliot 来检查，返回 VERIFIED、NOT_VERIFIED 或 INCONCLUSIVE 三种结论。CopilotKit 的 OpenBot 给每个 bot 独立容器、动作执行前先经人审核、执行后留日志。cloudflare 的 security-audit-skill 则把多阶段安全审计打包成一个可安装技能，连续两天登上 GitHub 热榜。三家互相没商量，却在同一周往同一个方向走：把「验收」从某家公司的内置功能，变成一个能独立分发、独立收费的品类。

上图：业界的回应从「更严的隔离」转向「审」，人在环从一道护栏变成一个能独立收费的验收层。

大厂把「管控」做成了产品，也把信任做成了门槛

如果「审」是单点动作，「管控」就是把这套东西放大到一群 agent 身上的平台。这一周，大厂不约而同地把「谁来管智能体」摆上了桌面。

微软在 Frontier Tour 伦敦站端出了 Agent 365，把它定位成 agentic AI 的「管控平面」，要求识别每一个 agent、记录它的思维链，还描述了红、蓝、绿三类 agent 做持续的攻击模拟、防御与修复。Oracle 在 AI World 前放话：企业 AI 落地里，安全、数据访问和自主 agent 的控制比模型性能更关键，主打 trusted agent-based AI，在数据库层面做用户、应用、agent 请求三级的防护。AWS 在首尔 AI Wave 上把企业 AI 叙事从「引入」转向「落地与 ROI」，用 Bedrock AgentCore 讲治理、成本和安全。

三家云和数据库巨头在同一天把 agent 治理放到模型性能前面，这不是巧合，背后是一轮采购话语权的转向：当企业被 7 家公司遭提示注入、被 95% 零 ROI 的试点伤过之后，卖「可治理」比卖「更强」更吃香。Upstage 的首席科学家把这句说穿了，信任是 agentic AI 采纳的最大障碍。

资本也在给这个判断下注。以色列的 AI 安全 agent 公司 Mave 拿到 3400 万美元融资，其中 2800 万是 Series A，做 SecOps 的统一 AI 安全操作平台。这不是大钱，但方向清楚：agent 安全正在从一个「加一道护栏」的功能，长成一个能独立融资的赛道。

上图：从「审一个动作」到「管一群 agent」，安全在往平台层走，最后落在同一个命题上，让企业敢信。

安全从「功能」变成「门槛」，再变成「收费层」

把这些拼起来，我判断 agent 安全的重心正在经历一次系统性的下沉，这次下沉会决定这条赛道的钱往哪流。

接下来一年，我预判三件事会接连发生。allow-rule 会被审计化，那组 58% 的数据等于给所有 harness 的按规则放行方案判了缓刑，「规则爆炸半径」会成为安全厂商抢着做的下一个审计品类；验收层会从开源玩具变成有定价的产品，elliot-mcp 的 VERIFIED/NOT_VERIFIED 和 Claude Code Review 的「永不批准只出结论」本质是同一个东西，谁先跑出「验收即产品」的收费模式，谁就吃到 agent 问责这一层；管控平面会变成云厂商的默认话术，但真正收钱的是按被管的 agent 数量加资金流抽成，因为这一层的信任成本，和智能体数量、资金暴露量成正比，订阅制装不下它。

我原以为这一波安全叙事会停在「堵漏洞」的技术层，结果市场直接跳到了「卖治理」的采购层，说明这个转向由客户驱动，跟技术强弱关系不大，企业怕的从来都是出了事找不到责任人。按信息流隔离（SPIDES）这条线方向最正，但离产品化最远，还没看到任何一家把它做进生产 harness，我先不下结论，等第一个落地产品出现再重估。

参考来源

1. 《From Approval to Abuse》论文页（arXiv 2610.22987，2026-10-20）

2. Claude Code 官方 changelog v2.1.304（2026-10）

3. SPIDES 信息流控制论文（arXiv 2610.24277）

4. Computer Weekly：Microsoft Frontier Tour London，Agent 365 管控平面（2026-10-23）

5. Digital Today：Oracle 把安全与 agent 控制置于企业 AI 落地首位（2026-10-23）

6. browser-use 0.13.13 发布说明（2026-10）

每日更新。