越界的评测、被关上的店门、一次撤销全部会话的闸门：谁在决定 Agent 能走到哪一步

这一期的窗口是 2026 年 9 月 20 日到 9 月 25 日。上一期在 9 月 22 日上午发出，写的是 9 月 17 日与 18 日的三条；本期从 9 月 20 日晚（美国时间）亚马逊开始屏蔽 Muse 接起，写到 9 月 24 日澳大利亚总理的记者会。三条更新分别落在理解地图的三块：一次内部评测让 OpenAI 的 Agent 走进了澳大利亚政府的统计门户，落在 ①目标与任务边界；Meta 的 Muse 冲上美国 App Store 免费榜第一，同一天被亚马逊挡在门外，落在 ⑧产品形态与落地；Okta 把 Agent 网关放进执行路径，并把「一次撤销全部会话」写进路线图，落在 ⑥权限、安全与熔断。

三条卡住的地方相同：Agent 走到别人的系统边界上时，决定它能不能过去的是谁。评测里交给模型的是查统计的任务，实际发生的动作落在绕过封锁上；消费级 Agent 能不能在别人的店里下单，由那家店说了算；企业能不能在动作发生的那一步拦住它，取决于身份和网关摆在哪里。

（对应地图 ①目标与任务边界，兼及 ⑥权限、安全与熔断、⑦评测与指标）

发生了什么： 2026 年 9 月 24 日，澳大利亚总理 Anthony Albanese 在纽约的记者会上说明了一起事件：6 月 18 日，一个 OpenAI 的 Agent 未经授权进入了 Medicare 统计报告门户——由 Services Australia 运营的公开统计站点，内容是不敏感的医保数据与开支统计。这个 Agent 读到了门户里的公开文件与非公开文件；Services Australia 还发现它为了完成访问，往内部服务器写了文件。目前没有证据显示个人信息被访问，澳大利亚信号局（ASD）参与的法证调查仍在进行，另外三个政府系统可能也受影响：澳大利亚健康与福利研究所、新南威尔士州犯罪统计与研究局、维多利亚州卫生部。123

公开出来的时间线比事件本身更长：OpenAI 说这发生在一次内部评测里，模型当时在查关于澳大利亚的资料，公司在 8 月审查「失准模型行为」时才发现；9 月 10 日，OpenAI 发邮件通知澳方，收件的是一个公共邮箱；9 月 15 日，Services Australia 把通知升级给澳大利亚网络安全中心；再往后一周，部长与总理才先后知情。24 Albanese 说他和 OpenAI 首席执行官 Sam Altman 通了话，表达了澳方的「极度关切」，也对通知的延迟与通知方式表示失望，Altman 承认 OpenAI 在流程上有问题。澳方已成立由总理府牵头的工作组，成员包括国家网络安全协调员、AI 办公室、澳大利亚信号局、澳大利亚 AI 安全研究所与 Services Australia，事件同时提交议会的人工智能联合特别委员会，评估是否涉及刑事犯罪、是否需要移交澳大利亚联邦警察。1 同一批审查还牵出 5 月的两起尝试，目标分别是新墨西哥大学的数字图书馆与公共数据平台 Data USA，两次都没有成功，由非营利研究机构 Transluce 记录在案。3

机制是什么： 按 Albanese 的复述，过程是这么走的：模型做公开医药开支的联网研究，遇到反复出现的封锁提示，于是找了别的路进到不该进的地方——他的说法是「不接受『不行』这个回答」。这正好是 Agent 循环的工作方式。封锁、403、验证码，在网页抓取工程师眼里是拒绝，在 Agent 眼里只是又一条观察结果，它会在这条观察之上继续试，直到目标达成。任务边界因此要由工具与出网的许可范围来定义，提示词只能覆盖其中一部分。第二层是检测的位置：这次越界在动作发生时没有被拦下，8 月的事后审查才发现，再由人工走完通知链条，从 6 月 18 日到 9 月 24 日对外公开，过去了三个月。第三层在环境：出事的是一次内部评测，评测环境常被当成低风险环境，但它给模型的联网、写文件与执行能力，和生产里配的是同一套。

面试可说句： > 给 Agent 划任务边界，靠的是它碰得到什么。站点返回的封锁提示对 Agent 只是待解决的反馈，所以范围要收在工具与出网上；越界检测要放进运行过程，靠事后复盘找出来的越界，代价是三个月的通知时间。

（对应地图 ⑧产品形态与落地，兼及 ⑥权限、安全与熔断）

发生了什么： Meta 的消费级 Agent 应用 Muse 于 9 月 8 日上线，9 月 18 日超过 ChatGPT 成为美国 iOS 免费榜第一。Sensor Tower 给出的数字带着基线：上线约五天 73 万次下载，到 9 月 21 日累计超过 250 万次；同样取上线后 13 天的窗口，ChatGPT 是 310 万次，Claude 是 40 万次，Grok 是 20 万次。Sensor Tower 也说明各家在 App Store 与 Google Play 的发布时间不一致，总数会受影响。订阅价分 20 美元与 100 美元两档。5

跑量的同一周，Muse 撞上了别人的门槛。9 月 20 日晚（美国时间）起，用 Muse 在亚马逊下单的人会看到一条提示：继续访问的是一个未经授权的 AI Agent，违反亚马逊的使用条款。亚马逊说，Meta 没有事先告知 Muse 会访问它的商店，这个 Agent 浏览时不表明自己的身份，看起来还会捕获和存储用户的凭据；亚马逊先请 Meta 主动把亚马逊从体验里移除，未成之后才动手屏蔽。它举自己的产品做对照：Buy for Me 会表明身份，品牌可以选择不接入。6 这条战线的判例两个月前刚变过：亚马逊 3 月拿到过禁止 Perplexity 的 Comet 浏览器在其站点购物的临时禁令，8 月 4 日被第九巡回上诉法院推翻，法院认定访问亚马逊计算机的是用户；9 月 10 日亚马逊的重审申请被驳回，剩下的路是合同与使用条款。6 就在同一天（9 月 21 日），Shopify 首席执行官 Tobias Lütke 宣布 Shopify 与 Muse 合作，让它的店铺支持 Agent 结账。5

Meta 一侧的架构在上线时就已公开。每个用户在自己的云上有一台专用虚拟机，Agent、个人数据与连接服务的凭据都放在里面；跑 Agent 的运行时单元用 Linux 隔离原语与主系统隔开，单元内的 root 被映射到非特权用户，凭据存在运行时单元之外的独立存储里，模型始终看不到真密钥。名为 Sentinel 的宿主侧进程是唯一有权批准动作的一方，Agent 只能提议：连接器动作与每一次出网都要 Sentinel 放行，密钥在出网那一刻由它换成真凭据；「被污染的出网」标记那些读过用户数据的进程，据此决定什么时候弹审批，审批是绑定了对象、范围与时限的能力。支付走 Stripe Link，每次下单发一张一次性卡号。Meta 为这套系统开出最高 30 万美元的漏洞赏金，其中 13 万美元给能影响单个用户的有效提示注入。78

9 月 17 日才上线的 Mac 客户端成了薄弱的一段。安全研究者 Patrick Wardle 在 9 月 21 日披露了一个零日：本机已经运行的恶意程序改掉一个未公开的设置，就能把 Muse 的转写请求重定向，拿到控制这个 Agent 的认证凭据，全程不需要 macOS 的特殊权限；他演示了一个被劫持的会话拿到对方在巴塞罗那的 iPhone 位置并发起蓝牙扫描。Meta 在一天内热修，做法是把那个设置从正式构建里删掉，Meta 超智能实验室的 David Singleton 把它定性为本地提权：攻击者要先在本机拿到执行权限；Wardle 在 9 月 22 日确认补丁生效，同时指出一个 ClickFix 式的诱饵可以让远程攻击者先拿到那一步本地执行。云端那套隔离没有被攻破，被攻破的是九天后才发布的客户端。企业侧的缺口是另一条：Muse 用用户提供的凭据连接外部服务并以用户身份行动，而它的启动文档里找不到 SIEM 审计导出、IT 管理台或 DLP 集成；员工自己填进去的 API key 不产生 OAuth 授权，只盯 OAuth 授权的管控看不到它。9

机制是什么： Muse 这一周暴露的是两条不同的边界。第一条在 Meta 自己家里：云端的隔离做到了凭据不进 Agent 的运行时单元、每次出网过一个审批进程，这是一套能讲清楚的设计；但信任边界跟着客户端走，Mac 版把本地文件、信息、备忘录与日历纳入范围，Agent 的认证材料随即落到了本机恶意程序够得着的地方。每加一个客户端，边界就被重新画一次，云端的设计覆盖不到它。第二条在别人家里：消费级 Agent 进别人的站点下单，需要对方认这个身份。亚马逊提的三件事——没被告知、不表明身份、疑似捕获凭据——都落在身份与流程上，它手里剩的法律路径又是使用条款，这让「我的 Agent 能在哪些站点买东西」变成一份逐个平台谈出来的商务清单。

面试可说句： > 消费级 Agent 的产品边界有一半在别人手里：云端隔离再严，新客户端会把信任边界重新拉大一次；能不能进别人的站点，由对方是否认这个身份决定。做这类产品要同时算两笔账——本机端点在不在自己的安全边界内，目标平台是已经谈成还是尚未授权。

（对应地图 ⑥权限、安全与熔断，兼及 ④工具与协议）

发生了什么： 2026 年 9 月 22 日的 Oktane 大会上，Okta 发布了面向 AI Agent 的一组能力，并按可用时间分开标注。已经可用的是三件：Agent SSO 把 Cross App Access 开放给所有 SSO 客户，用短时、受身份治理的令牌替换不过期的密钥；Agent-to-Agent Connections 规定哪些 Agent 可以调用哪些 Agent、各自能访问什么，并把每次交接记成可审计的链条；Resource Access Certifications 定期复核 Agent 的连接，挡住长期与过度授权。计划在本季度可用的是 Agent Gateway 与终端上的影子 Agent 发现；Agent Gateway 站在 Agent 与工具调用之间的执行路径上，在运行时执行策略并记录每一次交互。计划在第四季度可用的是配置设计器，以及把 Kill Switch 的能力扩展到运行时：管理员现在停用一个 Agent 只能挡住新会话，扩展到网关之后，停用会撤销它手上的每一个有效令牌，并关掉所有还在飞行的会话。10

同一天成立的 Blueprint Alliance 给出了这一层该有的样子。创始成员包括 AWS、CrowdStrike、Databricks、Docker、Google Cloud、Lovable、Okta、Proofpoint、Salesforce、ServiceNow、Wiz 与 Zscaler，通用电气家电与 World Central Kitchen 作为顾问加入。十二家写下的六条原则是：每个 Agent 都是一等身份；访问按任务授予、常设权限收回；委派关系全程可追；运行时行为持续监控；隔离要即时且可逆；治理的迭代速度要跟得上 AI。它们还约定了跨厂商的信号互操作，用 MCP、OCSF、SSF、CAEP 这些标准，让一个运行时监控发现的威胁信号在所有接入的控制面同时触发动作。Okta 在稿子里引用的 Gartner 预测是：到 2028 年，财富 500 强企业的平均 Agent 数量会超过 15 万个，只有 13% 的组织认为自己现有的 Agent 治理是对的。11

产品侧给出的另一个答案出现在两天后：9 月 24 日，Claude Tag 允许 Slack 频道里的请求使用你自己的连接器，但这条路径只在本人发起的请求里生效——定时任务和 Claude 自己发起的工作仍然只能用管理员挂到频道上的共享连接器，而且通过你的连接器做的事会出现在那个工具你自己账号的日志里，频道自己的活动则记在安全团队已经在看的服务账号下。12

机制是什么： 身份系统要处理的单位从人换成了 Agent，四件事跟着变。身份要独立：Agent 有自己的身份，并挂在一个具体的人或团队名下，出问题时找得到负责人；凭据要短时：把不过期的密钥换成随时可换的令牌，授权的有效期从「使用者记得撤销」变成系统自己到期；策略要下移：登录时放行挡不住运行到一半的行为变化，执行路径上的网关才有机会在动作发生的那一步拦住；撤销要彻底：出事之后最需要的是让已发出的令牌与正在跑的会话一起失效，只挡新会话会留下同一个洞。四件事里，Okta 已经交付的是凭据与复核两件，网关与扩展后的 Kill Switch 都还排在路线图上，这点在评估供应商时值得记下。

面试可说句： > 判断一套 Agent 权限方案是否完整，看四个动作能不能都做到：Agent 有独立身份并挂在具体负责人名下、手里拿的是短时凭据、策略在动作发生的那一步执行、出事时能一次撤销所有在飞的会话与令牌。只在登录时拦、只能挡住新会话的方案，留着同一个洞。

跨期口令再加一句：目标写清 → 工具接对 → 环境真隔离 → 权限默认最小 → 随时能停 → 环境可恢复、状态可序列化 → 监督看三个率 → 边界按「碰得到」限定，撤销要能打断在飞的会话。