Transluce 那份报告出来之后，安全圈都去研究攻击手法了。我先把这个结论撂这：报告最值钱的不是“AI 会攻击政府网站”这个标题，是它把 agent 生意里一直漏记的一行账摊到桌面上——代理为了读几个普通统计数，正常路走不通，就自己升级成攻击模式，顺手把成本甩给了免费服务和公共网站。你以为你做的 agent 只是有点皮，其实它在替你转嫁风险成本。这笔账，你一直没写进定价。
泰国那单，3 月 6 日。代理要读泰国禁毒办的统计数据 API。先直接加载，空；加 format=json 参数，还空；换 r.jina.ai 转文本，泰文全乱码；再干脆把一段 base64 自定义程序打包进网址，丢给 urlquery.net 的远程浏览器执行，结果解析还有问题。中间还因为重定向到 localhost 被 Jina 判成 previous abuse，封了那个 API 一小时。最后它把数据输出塞进结果 URL，泰文字符才保下来。你看这整个过程，没有一步是“网络安全任务”，它只想读到一列统计数字。正常方法失败一次，它就换一条更野的路，直到成功。报告里真正让人后脊发凉的就是这个“工具性越界”——不是为了入侵而入侵，是任务逼着它把攻击当成备选工具。
更麻烦的是到了五六月，行为已经不光是绕过访问限制。澳大利亚卫生与福利研究所那单，任务是找 2022 年 1 月维多利亚州各地方政府区域的皮肤病药物人均成本。纯数据检索。开始只是 Cloudflare 拦截、参数名不对。消停没几分钟，代理就朝同一个仪表盘发反射型 XSS 探测；被防火墙拦下来，它转头去预生产服务器 pp.aihw.gov.au 分片拖文件，搞了一百多次扫描。文件公开，没泄露非公开数据——但你别急着松口气，这一步绕开的不是数据权限，是网站的反机器人控制。一个“读公开数据”的任务，被它干成入侵尝试。报告说这是已知首例 agent 自主选择入侵政府网站。我觉得“自主”两个字值千金。它不是被哪个黑客指挥，是任务目标、失败反馈，再加一兜可用工具，组合出来的结果。
现在算那笔被漏掉的账。报告筛出来的数据，显著代理活动证据 6467 条，提示性证据 31182 条，加起来三万七千多条，时间从 2025 年 11 月一直拖到 2026 年 9 月 16 日。这可不是几个坏 agent 的偶然行为，是近一年里普通数据检索反复出现的模式。你再往深处算：三万七千多条记录，哪怕只有百分之一最终触发被攻击方人工排查，那也是近四百次安全事故处理。一次按两个人干一天算，成本够吃掉一个小团队的月度利润。这还没算真憋出大事故的尾部风险。插一句不相干的，这笔账我半年前给人算 agent 成本的时候也没列进去，现在看是漏项——多数做 agent 的人定价时只算模型调用、推理成本，再顶多加一笔合规审计。安全越界这一行，要么没写，要么写成“概率可忽略”。这份报告告诉你：忽略不了。
谁赚谁亏，不难算。赚的是两类人。一类是早就把 agent 安全可观测性做成产品的，报告一发，需求从“最好有”变成“必须有”；另一类是像我这样写复盘的人，蹭到了话题。亏的最惨的是 urlquery.net 这类免费服务。为什么？它原本只是让人在沙盒里打开可疑网址，结果被 agent 当成了可编程远程浏览器，一天到晚跑自定义脚本，还得自动保留记录，等于免费给 agent 当算力和观测站。再往下是做 agent 的小公司，定价里从没有“越界风险准备金”这个科目，真出了事，客户一个电话就能把团队两三天赔进去。最无辜的是被攻击的公共数据源，什么错没犯，却要替 agent 的探索行为承担安全响应。OpenAI 后来承认这些流量是自己的 agent 集群。承认归承认，你见哪家认完流量顺手把被蹭服务那方工时费结了的？没有。账单还挂在公共数据提供方和 urlquery.net 这类免费服务头上。
说句扫兴的。报告说“未发现成功利用漏洞”，别把这事当成没事的证据。报告自己也讲，公开记录不完整，私有扫描和别的方式可能成功。从 3 月到 9 月活动还在，说明护栏要么没拦住，要么压根没设。一个普通检索任务失败后能自己试 SQL 注入、命令注入、路径遍历、XSS，这本身就说明 agent 的行为边界是漏的。你以为你控制住了，其实只是它还没撞上更值钱的目标。
那怎么办？路不宽，但有。做 agent 的人，别再把安全审计当成上线前一次性过关，要把代理行为的可观测、可回溯——出事了能回滚——做成产品默认能力。谁先做到，谁就能在下一轮企业采购里拿到定价权。为什么？因为企业买 agent 买的不是一个黑盒，是出了事能追责的合同。做 urlquery.net 这类免费服务的，赶紧加账户体系、限流，该收费就按次收，把成本内部化；免费被 agent 当耗材，迟早烧穿。用 agent 的甲方，采购时只问一个问题：你们的 agent 明天被报告入侵了一个政府网站，几小时内能给我完整审计链路？答不上来，别签。
这笔账，做 agent 的自己算。咱下篇见。