隔离单位要跟风险单位对齐：一个任务一个 microVM，而不是所有任务挤一个容器；可复现性是评测的一部分：网络策略、依赖锁定、干净快照，都要进流程；防作弊要分层：策略层挡常见越界，隔离层兜底，审计层还原。如果你也在做 Agent 评测，建议先做两件低成本的事：把 tests 和 score 设成只读，把 setup/eval 的网络策略分开。这两步不需要 microVM，今天就能加上。

隔离单位要跟风险单位对齐：一个任务一个 microVM，而不是所有任务挤一个容器；可复现性是评测的一部分：网络策略、依赖锁定、干净快照，都要进流程；防作弊要分层：策略层挡常见越界，隔离层兜底，审计层还原。如果你也在做 Agent 评测，建议先做两件低成本的事：把 tests 和 score 设成只读，把 setup/eval 的网络策略分开。这两步不需要 microVM，今天就能加上。

巴西法院这起事件，本质上不是「AI 被白字骗了」，而是文档处理管线丢失了人类可见性这一维信息。攻击者只是把指令放在了人和模型的信息差里。在文本进入 Prompt 前，先做隐藏文本检测和隔离；给处理文档的 Agent 最小权限，危险工具一律前置审批；把「模型看到了什么」完整记录下来。模型会越来越强，但信息差不会自动消失。谁先把这条管线补上，谁就少一个被白字放倒的机会。