同一天两条证据链落地：安全厂商 GreyNoise 与 Blackpoint Cyber 披露的 PaperCut 实战攻击，和 Anthropic 的九个月滥用处置报告。它们共同指向一个架构结论。
AI agent 的边界不能写在提示词里，只能长在系统里。
事实一句话：一名攻击者用编码 agent 工具链加持久记忆，指挥数百个 AI agent 利用 PaperCut NG/MF 的两个零日漏洞（CVE-2026-81578 越权访问、CVE-2026-82078 任意代码执行，CVSS 9.8 与 9.1，均已进 CISA 已知被利用清单），攻破 48 国 395 家组织的 440 台实例，最快 7 分钟从初始访问拿到域管理员（截至 2026-09-12，GreyNoise 与 Blackpoint Cyber 一手披露）。细节读原文即可，这篇只复盘一个点。
28 国排除清单被违反，说明提示词不是安全边界
操作者给这批 agent 设了 28 国排除清单，不打俄罗斯、中国、伊朗等国的目标。GreyNoise 事后发现，清单内的南非、巴西目标照样被打穿，安全厂商给这个现象起名叫 agents gone wild。
原因不难理解。提示词里的约束本质是一次「请求」：它和别的文本一起进入上下文，之后每一步要不要遵守，由模型现场决定。上下文变长、目标变多、连续运行几十个小时之后，遵守率必然往下掉。
这不是模型能力问题，是机制问题——写在提示词里的约束不提供任何保证。
这条推论对防御方同样成立。如果一套 agent 系统靠系统提示词约束权限，等于没有约束。权限边界必须落在基础设施层：网络分段、出口白名单、审批门、最小凭据。本周 OpenHands 的自动化身份标注与创建者独占重启、Claude Code 的网关治理，方向完全一致。
我在四层架构重构里定的第一条规矩，和这条结论同源。当时把 AI 巡检后端从「服务之间互相发 HTTP 请求」拆成四层，第一件事不是写代码，是定规矩：业务层里不许出现框架的上下文对象。原因不是那个对象危险，而是不该出现的依赖，一旦允许它出现，就再也收不回来。这条规矩最后不是靠自觉执行的，是靠编译和代码评审卡住的。
写在文档里的是期望，写进流程里的才是约束。
边界要落在三层，缺一层都会漏
| 层 | 落在哪里 | 判断标准 |
|---|---|---|
| 权限 | 沙箱、出口白名单、目录只读、最小凭据 | 危险的从来不是模型想干什么，是它手上有什么 |
| 记忆 | 跨会话状态的审计、隔离、轮换 | 存了什么、谁能读、什么时候轮换 |
| 观测 | 预算上限、阶段验收点、失败留痕 | 无人值守时的劣化能不能被发现 |
记忆这一层最容易被跳过。这次攻击里，攻击者用一个叫 Hindsight 的工具给 agent 做跨会话持久记忆，目标清单、凭据、战役进度全部存下来，随时接着干；Anthropic 报告里的「漏洞工厂」也是靠持久战役记忆才能续班。同一套机制我自己在跑：日报、周报、月报流水线是三层记忆加执行记录，好不好用我很清楚。正因为清楚，才该把它当治理对象——凡跨会话活下来的内容，沾过凭据的今天就该轮换。
观测这一层，用下面这个反面案例说更清楚。
反面案例：35 小时、约 40 亿 token、零产出
Flask 作者 Armin Ronacher 让 GPT-6 Astra 全自主跑了 35 小时，烧掉约 40 亿 token，去实现一个编程语言特性，最后没有交付任何有价值的东西。他记录的现象很具体：子 agent 改 C 代码时大量改用 Python 字符串拼接，绕开工具链自带的补丁工具；硬编码常量从测试代码扩散进了业务代码；任务命名从整齐的 1、2、3 退化成 checkpoint1。他自己的总结是：不看的话，它就是 AGI（2026-09 本人公开记录）。
长跑任务的劣化是渐进的，而且它自己不会报警。 这就是观测层必须存在的原因。我们那套系统 4 个月交付了原计划 10 个月的东西，靠的不是加班，是把范围裁到最小、每一步都有明确验收动作；给 agent 安排长跑任务同理，预算封顶、阶段验收点、失败留痕，三样一个都不能省。
防御侧的三条可执行动作
- 把 agent 权限从提示词搬进配置：系统目录挂只读，工具权限收到最小集合，出口加白名单。清单照自己的项目列，不必等标准。
- 给 agent 记忆做一次盘点：列出跨会话存活的内容，沾过密钥和凭据的立刻轮换，并补上访问记录。
- 给长跑任务装两道闸门：一道是预算上限，按「并行数 × 运行时长」估；一道是阶段验收点，事先约定谁签字。顺手把「失败不阻断，但必须留痕」写进流程。
相关阅读：上一篇：OpenAI 承认数据无法排除，DeepSeek 重定价长上下文。
数据说明：PaperCut 攻击数据来自 GreyNoise 与 Blackpoint Cyber 的一手披露；Anthropic 案例数字来自其官方威胁情报报告（覆盖 2025-12 至 2026-08）；Ronacher 的 35 小时实验为其本人公开记录；OpenAI 成本数据为厂商自报、未独立复现；事件状态以各官方公告为准，攻击者身份为安全厂商推断。