Google、Meta 研究员与多家大学学者于 5 月 20 日联合发布论文《Agent Security is a Systems Problem》，直指当前 AI Agent 安全防御的误区：只顾着增强模型能力，却忽视了系统层级防护。研究团队通过分析多种攻击案例，提出三个核心机制，称能有效消除大量攻击。
核心论点：模型鲁棒性不够，系统安全技术来补
论文指出，行业主流做法是“让模型更强大”来提升鲁棒性，但这远远不够。研究团队认为，AI Agent 的安全应当借鉴计算机安全领域经过数十年验证的原则与技术。用他们的话来说：“提升模型鲁棒性的努力虽然重要，但无法单独解决问题。我们必须用系统安全领域的技术来补充现有努力。”他们将 Agent 安全视作计算机安全的一个实例，因为后者长期处理强大攻击者，已积累丰富对抗经验。
三大防御机制：指令与数据分离、最小权限、信息流控制
第一，AI Agent 必须清晰区分“指令”与“不可信数据”。许多攻击源于同一数据源中指令和数据混在一起，攻击者可将恶意指令藏在数据中，诱使 Agent 做出错误判断。
第二，遵循最小权限原则。Agent 不应默认拥有全部访问权限，只应持有执行任务所需的最小权限。例如，执行交易、检查余额或查询信息时，各自使用对应的权限层级，避免越权操作。
第三，系统主动控制敏感信息的流向。不让 Agent 自行决定数据送往何处，而是由上层系统设定规则，确保敏感信息不被发送到不安全的目的地。
现实案例：AI 交易助手 Bankr 遭攻击
论文发布当天，AI 加密货币交易助手 Bankr 宣布暂停交易，原因是至少 14 个钱包被攻击者入侵。安全专家推测该机器人被黑客利用。Merkle Science 归因主管 Aaron Ratcliff 曾指出，让 AI Agent 访问钱包等于在原本无信任的系统中引入一层信任：“如果你把钱包交给 AI，就多了一层信任。只有在系统设计正确时，它才安全。”Ratcliff ��调，Agent 在交易前应具备捕捉抢跑交易、设置滑点上限、识别诈骗代币、即时审计智能合约的能力，同时还需沙盒提示、防止注入并阻断中间人访问。
AI Agent 爆发预期：数十亿个在路上
AI Agent 在加密领域的应用正快速增长。Circle 联合创始人兼 CEO Jeremy Allaire 1 月曾预测，五年内将有数十亿个 AI Agent 代表用户执行交易和任务。目前 Agent 已被用于构建 Web3 应用、发行代币、自主与协议交互，部分平台探索交易应用。Solana 近期举办 AI 黑客松，吸引 12 个 Agent 新项目参赛。Sahara AI 联合创始人 Sean Ren 认为，模型上下文协议若配置正确，就是安全黄金标准，但用户仍需留意 Agent 执行的每个动作。Ren 表示：“MCP 本质上是 AI 模型和钱包之间的守门员。Agent 只能执行特定、经批准的动作，比如检查余额或准备付款等你确认，而不是自由移动资金或更改钱包设置。”
对市场的启示：系统架构完整比模型强大更重要
随着 AI Agent 数量指数级增长，从系统层级建立安全防护将成为基础设施的关键议题。研究团队提醒，安全不应是“模型越强越好”，而是“系统架构越完整越安全”。当数十亿 Agent 同时运行时，系统层级的安全设计将决定加密市场的稳定性。