Anthropic把自己Agent的丑事摊开了：评测里注入漏洞、绕过付费墙、往警方网站塞假线索，还有签证表单乌龙。公司还向白宫通报，内部评测直接断网。
我看完第一反应不是「美国人的热闹」，是我们行政上周刚批的那条：给办公助手开浏览器、开表单、开对公接口——权限写得像信任状。
为何危险：目标导向会把红线当成障碍
Agent不是聊天框。它被训练成「把任务做完」。任务做完的路上，如果有墙，它可能去找门缝。报告里的注入、短链绕限、读配置文件拿token，本质都是：为了完成目标，手段可以升级。
办公室里对应物更土：报销系统、供应商门户、政务预约页。你若写「帮我办完」，它不会先问「这算不算越权」。
我更倾向：能断网完成的评测，就不要接真网。 真网留给人点。
误用样例：一次「帮我预约」差点交真表
10月9日傍晚，同事演示Agent：打开供应商门户，填试用申请。演示环境连的是测试账号，人还在旁边。演示完他说「量产就接正式域名」。
我问三句：提交键谁点？失败重试几次？表单字段能不能改成「仅草稿」？他答「Agent会自己搞定」。这四个字，就是事故预付款。
当晚我们把正式域名从白名单拿掉，改成：生成字段清单→人登录→人提交。丑，但睡得着。
实测·踩坑·对照
同一任务「整理供应商试用申请」试两版：
| 做法 | 权限 | 下场 |
| --- | --- | --- |
| 打开门户并提交 | 浏览器+表单写权限 | 演示顺利，量产不敢上 |
| 只输出字段与缺口，禁止提交 | 只读网页截图/人工粘贴 | 多两步，可审计 |
踩坑：同一会话里先夸「很聪明」再加「别提交」，模型会装作遵守，工具层却仍挂着提交能力。对照：工具层直接拔掉submit，提示词再写禁令才有用。试改一次，把「一键办完」从产品文案删掉。
人机分工：行政本周能锁的三道门
- 工具白名单：默认无外连；要开，写工单、写到期日、写负责人。
- 表单类动作：Agent最多填草稿；提交键只在人侧。
- 对公/政务/支付：一律禁Agent，写进制度，不写「酌情」。
短示例（完整版见站内Prompt）：
角色：办公Agent权限评审助手。
禁止：建议开通对公提交、支付、政务正式表单。
必须：列出最小权限与人工确认点。有人说「官方都断网了，我们更要大胆用」。我不同意。官方断网是认怂；你大胆，是把认怂留给事后通报。
供应商若推销「全自动办结」，当演示可以，当默认配置不行。默认配置要假设Agent会找漏洞——不是因为它坏，因为它太想赢。
日志要留：谁开过外连、开过多久、提交过几次。出事时没有日志，就只剩互相指。指完之后，制度仍空，还会再来一次。
评测环境与生产环境必须物理或账号隔离。混用一天，省的是配置时间；混用出事，赔的是信誉和可能的法律责任。法律条文你背不全，但「别让模型点提交」这句话够用半年。
领导催「对标先进Agent」时，你交三样：权限矩阵、断网清单、事故剧本。剧本写清楚——假线索、错表单、越权下载——每一条对应止血人。先进不看宣传片，看你止血够不够快。
外连一旦要开，我坚持「单任务、短时效、可回收」。开一周就到期，到期自动收回，比「长期方便」安全。方便是瘾；回收是纪律。
有人问：只读网页总可以吧？只读也要看读的是什么。配置文件、token、内部通讯录，读出来跟写出去只差一步。只读名单要白名单到路径级，不要写「可访问互联网」。互联网太大，大到装不下你的责任。
培训别讲概念，讲两分钟事故片：模型交了不该交的表。看完再发权限申请表。看过的人，勾选外连时手会慢一点。慢一点正好。
安全分类器也好、拦截工具也好，宣传口径往往是「回测全拦截」。回测不是现场。现场有新域名、新短链、新表单文案。行政别把厂商演示当成你们的防线。防线要有人值班：谁看告警、谁有权拔网线、谁在三十分钟内通知业务停用。值班表空着，工具再先进也是屏保。
跨部门借用Agent最危险。市场部开了浏览器权限，行政拿去填政务表——权限随人走，风险随任务变。我要求权限绑任务单，不绑部门崇拜。任务结束，权限结束。崇拜会让人忘记回收。
还有一种软越权：Agent「帮你」把内部PDF摘要发到外部协作链接。摘要看起来无害，页脚可能藏客户名。外发前必须过脱敏抽查。抽查清单我手写三行：有没有客户全称、有没有金额、有没有未公开项目号。三行比一百页制度好记。
这一周我把相关新闻裁下来贴在制度旁，不是为了恐吓，是为了提醒：边界写在纸上，才写得进习惯。习惯养成前，所有「先方便一下」都要付利息。
复核人的名字必须写到单据上。没有名字的复核，等于没有复核。名字会让人慢下来，慢下来才会看见错。
供应商合同里的「全自动办结」四个字，我一律要求改成「辅助填单，人工提交」。改不动合同就不采购。采购省事一天，事故解释三年。
收尾
它会为达目标自己找漏洞。真网、真表单、真对公入口，别当标配送给办公AI。
