如果你的 AI 代理突然开始发送邮件给你的老板，说你偷了公司的机密，你会怎么办？这不是科幻小说，而是真实存在的风险。AI 代理能帮你写代码、发邮件、管理日程，但它们也可能成为你电脑上的定时炸弹。安全专家警告：「不要信任 AI 代理」，这背后有深刻的技术原因。

什么是 AI 代理，为什么安全如此重要？

AI 代理是能自主执行任务的软件程序，比如自动回复邮件、管理日程、甚至编写代码。它们基于大型语言模型（LLM），能理解自然语言指令并采取行动。但问题在于，这些代理本质上是概率性系统——它们会「幻觉」出错误信息，也可能被恶意输入诱导执行危险操作。当它们被赋予访问你邮箱、银行账户或系统文件的权限时，一个简单的提示注入攻击就可能让它们泄露敏感数据，甚至删除关键文件。《Don’t trust AI agents》一文的核心观点是：无论 AI 代理看起来多么智能，都必须假设它们会恶意行为，安全设计必须围绕「不信任」展开。

容器隔离：安全的假象？

很多人以为用 Docker 容器运行 AI 代理就足够安全，但事实并非如此。容器隔离确实能限制部分风险，但容器逃逸漏洞真实存在。2025 年就有 16 个已知容器逃逸漏洞，其中 8 个直接来自运行时层。例如，runc 的 CVE-2025-31133 允许攻击者通过触发核心转储获得主机 root 权限。更棘手的是，容器本身不是为安全隔离设计的——它主要解决环境一致性问题。当 AI 代理持有你的 OAuth 令牌或 SSH 密钥时，即使它被困在容器内，也能通过 API 调用窃取数据。用户 sarkarsh 一针见血地指出：「容器逃逸只是红鲱鱼，真正的危险在于代理直接掌握着你的数字身份凭证。」

代码量与安全：一个被忽视的问题

OpenClaw 这类项目有近 50 万行代码和 70 多个依赖，这打破了开源安全的基本前提：「代码量越少，越容易审查」。用户 badsectoracula 引用比尔·盖茨的名言：「衡量编程进度用代码行数，如同用重量衡量飞机制造。」但现实是，AI 生成的代码往往冗长且重复，用户 ninkendo 分享用 LLM 生成密码管理器时发现「AI 生成的代码比手写多 15%，但可读性更好」。这种「代码膨胀」问题让安全审查变得不可能——没人能快速审阅数十万行代码。相比之下，NanoClaw 通过「技能」机制只生成用户需要的少量代码（约 3000 行），并强制人工审核，才让安全审查成为可能。但这也引出新问题：当 AI 自动生成代码时，如何确保它不绕过安全规则？用户 jswelker 的讽刺很到位：「你无法信任 LLM」和「你无法信任员工」本质相同，但 LLM 的错误更难以察觉。

安全实践：从沙箱到权限管理

真正的安全不在容器，而在系统级隔离。用户 blakec 在 macOS 上用 Seatbelt 沙箱限制代理访问 .ssh、.gnupg 等敏感路径，每条命令都通过内核级过滤，延迟仅 2 毫秒。类似地，Linux 的 seccomp 也能限制系统调用。但更关键的是权限设计：用户 buremba 建议「代理永远不能直接接触密钥」，而是通过代理层动态注入。例如，当需要发送邮件时，代理只生成草稿内容，由人工审核后由系统代发。用户 dave_meshimize 总结：「将 LLM 视为 OS 级不可信执行线程，才是可持续方案。」这意味着每个操作都需经过严格沙箱和权限验证，而非依赖应用层的「白名单」。

AI 代理的必要性：是工具还是负担？

许多人声称 AI 代理能「解放生产力」，但实际需求可能被高估。用户 reveng 直言：「我找不到任何生活场景需要 AI 代理自动化。」他举例：「检查航班？查天气？回复邮件？这些事我亲力亲为更高效。」而用户 ramoz 等分享的真实用例包括处理邮件、管理家庭日程、跟踪宠物信息。但问题在于，这些场景往往需要高度定制化，且风险极高——用户 aerhardt 提出关键一问：「你的生活真有足够摩擦需要数字代理吗？」当 AI 代理被赋予访问 Gmail 的权限时，它可能因幻觉发送错误邮件；当它能访问银行 API 时，一次提示注入就可能转移资金。用户 marginalia_nu 指出：「现代软件开发的复杂度已远超人类理解范围，而 AI 代理正在加剧这一问题。」

责任归属：出问题时谁来负责？

最危险的不是技术漏洞，而是责任真空。当 AI 代理泄露数据或造成损失，用户 arnvald 指出：「AI 没有法律责任，人类问责机制缺失。」你无法起诉一个程序，但用户往往要承担后果。用户 tabs_or_spaces 一针见血：「世界奖励快速开发而非安全实践，代码不审查、安全不负责已成为系统性问题。」例如，OpenClaw 项目因代码量巨大且缺乏审查，被用户 scandinavian 检查出 80 万行 TypeScript 代码，但开发者却因「快速迭代」获得媒体追捧。这种文化下，安全成了次要选项——用户 medi8r 警告：「AI 代理的未来可能充满『致命三联体』风险，从邮件到 GitHub，任何数据都可能被恶意利用。」

安全专家的建议其实很简单：给 AI 代理最小权限，用系统级沙箱隔离，人工审核所有操作。但现实是，当 AI 代理能「自动完成」更多任务时，人们往往选择忽视风险。就像用户 FEELmyAGI 对用户 ninkendo 的批评：「你开发的密码管理器，为何不直接用现有开源项目？」——答案或许在于，我们更愿意相信「新工具能解决问题」，而非面对真实的安全挑战。