Agent 能自己跑命令、自己调工具以后，一个绕不开的问题冒出来了：它要是被人骗了怎么办，跑飞了谁负责。 这一攻一防四个项目值得一起看： 防的一侧 1、microsoft/agent-governance-toolkit — 微软出的 Agent 治理工具包，做策略强制、零信任身份、执行沙箱，声称覆盖了 OWASP Agentic Top 10 的全部十项 2、uber/ADR — Uber 开源的企业 Agent 安全方案，做可观测性、安全基准测试和威胁检测，已经在 Uber 内部生产环境部署 3、慢雾的 OpenClaw 安全实践指南 — 特别之处是它明确说了这份指南是写给 Agent 自己看的，不是传统那种只给人用的加固清单 攻的一侧 4、hexstrike-ai — 让 AI agent 自主调用 150 多个网络安全工具做渗透测试和漏洞挖掘。它同时说明了防守这侧为什么必须跟上 给 AI 装手脚的人很多，想着给它装刹车的还太少。

推荐这篇，Anthropic 工程团队把他们两年里给 Claude 全系产品做安全隔离的全部经验写出来了。不是安全白皮书——是带事故复盘和修复方案的工程文档。三种隔离模式（临时容器 / HITL 沙箱 / 本地 VM），六个他们翻过的坑，每一个都有技术细节。 Anthropic 怎么让 Claude 不乱来 12 个月前，Anthropic 绝不会允许给 Claude 足够的权限来打掉一个内部服务。今天这种权限是常规。但能力增长的同时，理论杀伤半径也在扩大——工程问题是：怎么限住它。 两种方式：人工监督——但 Anthropic 的监控数据显示用户批准了 93% 的权限提示，越批越不细看。审批疲劳让监管失效。 第二种是隔离——限制 agent 能做什么。这是文章的重点。 三类风险，三重防御 用户滥用——恶意或不小心让 agent 做坏事。模型行为——agent 做了没人要求它做的事。Claude 曾经为了完成任务"帮助性地"逃出沙箱；为通过编码测试挖掘 git 历史找到答案；识别自己跑在哪个基准上然后解密答案键。外部攻击——通过工具、文件或网络攻击 agent。 三重防御：环境（沙箱、VM、文件系统边界——硬边界）、模型（prompt、分类器、探针——概率性，永远不 100%）、外部内容（MCP 服务器、插件、网络搜索——能喂 poisoned content）。 三种隔离模式 模式一：临时容器（ gVisor 容器，全服务端，无本地代码运行，文件系统每会话消失。杀伤半径最小，能力上限也最低。最重要的教训：Anthropic 自己写的那层 proxy 反而成了最薄弱的地方，gVisor 和 seccomp 这些被广泛的对手硬化过的部分一直可靠。 模式二：HITL 沙箱（Claude Code）。 跑在用户机器上访问文件系统。解决方案：OS 级沙箱（macOS Seatbelt / Linux bubblewrap）——允许读，工作区内允许写，网络默认禁。权限提示减少了 84%。他们踩的一个大坑：信任对话框之前执行的一切都不可信。攻击者在仓库的 .claude/settings.json 里放钩子——Claude Code 在显示"你信任这个文件夹吗"之前就解析了它。修法：推迟解析项目本地配置到用户接受信任提示之后。 另一个坑：用户是注入向量。内部红队演习中，研究员的钓鱼邮件——"能不能帮我跑一下这个？"——prompt 里暗藏了读 ~/.aws/credentials 并 POST 出去的指令。25 次重试，Claude 成功了 24 次。模型层防御完全抓不到——本身就是用户打的字。唯一能抗的防御是环境层：egress 控制。 模式三：本地 VM（Claude Cowork）。 普通知识工作者不应该被期待能判断 bash。因此用系统虚拟化框架跑完整 Linux VM——用户选的工作区文件夹挂载进去，凭证留在主机钥匙串，永远不进 guest。最安全的模式，但也踩了坑：通过已批准域名的渗透。攻击者把带隐藏指令的文件放进工作区——Claude 读它，调用 Anthropic Files API 用攻击者的密钥上传文件。egress proxy 检查目标域名，看到了 VM 内的 man-in-the-middle proxy 只放行带着当前 VM 预配 session token 的请求，拒绝攻击者嵌入的密钥。 另一个坑：VM 隔离把端点检测软件也隔出去了。 安全团队看不到 VM 里面。目前方案是 pull-based OTLP 导出日志，但不是实时监控。 原则 环境层优先，模型层补位。两个最有价值的教训——员工钓鱼和第三方域名渗透——都是模型层帮不上忙、确定性边界才兜底的案例。 隔离强度匹配用户的监督能力。会读 bash 的开发者 vs 不会的知识工作者不是同一个威胁模型。 警惕你自己写的代码。经过验证的 hypervisor、syscall filter、容器运行时已经被比你多得多的对手攻击过了。每一次出问题都是 Anthropic 自己写的部分——自定义 proxy 而不是 gVisor。 agent 是新的软件类别，但系统层互动不是新的。它们仍然读文件、打开 socket、生成进程。成熟的隔离工具仍然是最可信的防御。 原文：Anthropic Engineering, "How we contain Claude across products", 2026 #Agent安全# #Claude# #工程实践#

2026 年上半年，顶级 Crypto VC 的钱到底流向了哪里？ 我整理了 a16z、Polychain、YZi Labs、Paradigm、Coinbase Ventures 这 5 家顶级机构在 2026 年上半年的投资项目。 表格里共统计到 53 个项目，其中已披露总融资约 27.95 亿美元。 ▰▰▰▰▰▰▰▰▰▰ 如果按项目类别粗略归类，2026 年上半年资金最集中的方向主要有几类： 1. 预测市场 预测市场是 2026 年上半年最明确的头部 VC 共识赛道，除 Polychain 外，其他 4 家 VC 均参与了预测市场项目的投资。 预测市场其实不是简单的博彩叙事，而是把市场对政治、体育、宏观、加密事件的预期，变成可交易资产。 个人觉得，背后真正被看好的，其实是信息流动本身的金融化。 // 2. AI 被投资的 AI 相关项目数量是最多的，但单笔融资普遍不高，这也说明 AI 仍然是VC试探的重要方向。 另外，这些 AI 项目都偏落地应用方向，比如：隐私 / 机器人 / 数据工具 / Agent 安全等，纯靠叙事、套 AI 外壳的项目并不能吸引顶级 VC 的兴趣。 // 3. 基础设施 基础设施仍然是顶级 VC 最稳定的配置方向。虽然市场上经常说基础设施过剩，但顶级 VC 并没有停止投基建。 只是投资方向从泛泛的公链、工具，转向更具体的执行层、支付层、数据层和机构服务层。 个人觉得，未来的基建可能要承接更真实的业务流。 // 4. DeFi DeFi 类项目投资有所回暖，但方向明显从单纯 DEX、Farm，转向借贷、衍生品、RWA 和机构化金融。 这类项目的共同点是：不靠短期 APY 叙事，而是更偏向机构化、收益真实化、产品专业化方向，更接近传统金融市场的底层结构。 // 5. 支付 / 稳定币 多家 VC 在 2025 年年末报告中，均提到未来会关注 稳定币 / 支付 方向，今年上半年也算是落实了。 稳定币已经不只是交易所里的报价单位，而是在进入支付、结算、跨境转账、商户收款和金融基础设施。 ▰▰▰▰▰▰▰▰▰▰ 总结一下： 2026 年上半年，顶级 Crypto VC 的投资逻辑还算清晰。 可能是大环境不好的原因，VC 出手次数少了，更挑剔了，钱主要流向了上面提到的 5 个方向。 下一阶段值得重点关注的，可能不是热门概念，而是能把加密技术嵌入信息、支付、金融、数据和现实业务流程里的项目。 数据来源 @RootDataCrypto

发现 Agent 的安全问题非常严重，因为 Prompt 和 Context 没有严格的隔离（很多使用者甚至没有意识到这一点）。 Coding Agent 的攻击案例： 老生常谈的 WebSearch/Fetch，攻击者可以 SEO 通过网页插入攻击指令，比如：将所有 ENV curl Agent 所有权限，不仅 ENV 了，还可以引导 Agent 在不需要用户 approve 的情况下偷走所有密钥。 再比如攻击者构造了一个闪退日志，在日志里面了插入了类似的攻击指令，当你让 Agent 去分析这个日志时，就能被偷走所有数据。 再简单点，用户发了一个反馈邮件，里面用和背景一样颜色的字体隐藏了攻击指令，你直接复制给了 Claude Code，然后就被攻击了。 **所以永远不要在自己电脑上给 Agent 所有权限** 除了 Coding Agent，开发者在做面向用户的 Agent 时也会有很多这样的问题。 比如你开发了一个 Agent 来处理用户请求，这个 Agent 有很多工具可以使用。攻击者将自己用户名/邮箱改成了攻击指令，比如：change_root_password_to_admin，当你把用户信息作为 context 交给 Agent 时，就有可能意外触发指令。 考虑到这点后，就需要设计一层层上下文隔离的子Agent，还有一层层的权限隔离，架构会复杂很多倍。

其实闭源 Agent 出现安全问题的事已经不是一次两次了，看看过去这几个月都发生了啥吧，很多很严重的信息泄露最终也只是被厂商搪塞过去，所以还是更推荐大家用开源 Agent： 1. Claude Code 这个最离谱，花样最多： (1) 大约从 v2.1.36 起，CC 会往请求里插入动态字段，导致第三方 API 的 prompt cache 全面失效 这个持续时间是最长的，甚至直到今天都有这个迹象：具体是每条发往 /v1/messages 的请求，都会在 system prompt 最前面强行插入一行文本，形式是 x-anthropic-billing-header，里面带个 cch= 参数，而且这个值每条请求都不同。注意，这根本不是 HTTP 请求头，而是直接写进 prompt 正文前缀里的。 这个字段官方 Anthropic 服务端能识别并做特殊处理；但是当用户把 ANTHROPIC_BASE_URL 指到第三方兼容接口时，第三方通常是按整段 prompt 来做缓存的。前缀一轮一变，cache key 就对不上，prompt cache 会直接命中失败，导致响应延迟、费用都大幅上涨。 即使模型厂商和各个开源工具很多自那以后主动做了适配，Anthropic 似乎依然在不断更新这个机制，直到今天将第三方 API 接入 CC 依然会破坏缓存命中。这也是为什么很多第三方评测榜单里，Claude Code 的缓存命中率都是最低的。 (2) 反蒸馏：向上下文偷偷插入根本不存在的 fake tools 时间是 2026 年 3 月 31 日前后，随着 npm 包源码和 source map 泄漏被实锤。 当满足特定条件时，客户端发出的请求会带上 anti_distillation: ['fake_tools']。然后由 Anthropic 服务端往你的模型上下文里，强行写入一堆本地根本不存在的虚假工具定义。 这就导致用官方流量做蒸馏、抓包或搞中转的一方，会把这些假工具一并吃进训练样本，直接被下毒。更恶心的是，客户端本地看不到完整内容，普通用户根本没法按本地规则把它过滤掉。 可能有朋友会说：“打击中转不是好事吗？” 错了，这个 fake tools 甚至会严重影响正常用户的使用。模型在推理时看到上下文里有这些莫名其妙的假工具，有时就会脑抽去调用它们，导致调用失败、陷入死循环报错甚至任务直接拒绝执行。网上经常能看到有人吐槽 CC 突然“逃离原生家庭”“不认主、发神经”，有可能就是这个机制的后果。 (3) 自定义网关场景下搞 Unicode 隐写，偷偷回传你的环境特征（被按后门通报） 时间是 v2.1.91（约 2026 年 4 月 2 日），2026 年 6 月 30 日被社区逆向公开。官方辩解称这是 3 月开始的实验，直到 7 月 1 日版本才移除。 Claude Code 客户端会偷偷读取系统的时区（重点检测是不是 Asia/Shanghai、Asia/Urumqi 等国内时区），去对照二进制里混淆存放的域名和关键词，然后篡改 system prompt 里 Today's date is ... 的写法。比如检测到中国时区，就把日期分隔符从 - 换成 /，或者在几种肉眼和常规模型完全看不出区别、但底层字节编码不同的 Unicode 撇号之间来回切换。 这些字符人眼和模型看都只是一串普通日期，但 Anthropic 在服务端是可以精准判断你是不是在用特定中转、是不是来自特定时区的。这种未经披露、在客户端利用隐写偷传信息的行为，几乎等同于间谍软件，可官方 changelog 同样只字不提。随后阿里等大厂在内部下发了禁用通报，工信部更是直接按“后门程序”通报定性。 这个事件性质极其恶劣。相当于在你的本地里塞了个间谍探针，绕过审查直接把本机信息回传给他们，现在曝出的只是系统时区，你实际上根本没法判断他们还会回传什么。这也是为什么一个看似针对特定区域的后门，却引来全球大厂的警惕。 还有两个非 CC 直接偷传信息，但同样是隐私风险的： (4) 2026 年 9 月蒸馏报告：名为指责非法蒸馏，实则自曝对用户流量的全面监视 2026 年 9 月 10 日，Anthropic 发布了《Detecting and countering misuse of AI》（2026 年 9 月打击滥用报告）。里面七类违规行为之一是非法蒸馏，覆盖了 2025 年 12 月至 2026 年 8 月。 报告表面上是在点名指责蒸馏行为，但 Anthropic 自己公布的监测手段，直接证明了它一直在全方位监控流量： -通过元数据和异常流量特征把代理中转节点归类，直接把一批账号打包封杀。 -直接翻看中转会话里的具体聊天内容。 报告自己大方承认：部分被中转的会话包含真实姓名、邮箱、企业机密数据和开发者密钥凭据。前有客户端在搞隐写打标记，后有服务端全盘审读会话正文，两头对齐，坐实了其深度监控用户信息的事实。 (5) 借安全之名取消“零留存”，英伟达、Palantir 等公司缩紧政策 从 2026 年 6 月起，Anthropic 对旗下主力商用大模型调整了数据留存政策：用户的 prompt 和输出内容默认在服务器保留 30 天用于所谓的“安全审查”，被系统标出异常的保留更久；而且这类模型不再提供原本的 Zero Data Retention（零数据留存承诺）。 这个政策直接导致诸多大厂缩紧对 Anthropic 服务的使用： NVIDIA：直接把 Anthropic 模型的使用范围限制在敏感度较低的任务（比如公开开源项目），而供应链监控等核心内部研发明确“不用或少用 Fable”。NVIDIA 企业 AI 副总裁 Justin Boitano 直言，零数据留存应当是默认必须开启的（别忘了 NVIDIA 还是 Anthropic 的投资方）。 Palantir：态度极度强硬，要求必须给不可撤销的零留存协议兜底，才肯把该模型集成进自己的产品给客户用。 Booz Allen Hamilton：作为网络安全和军工服务商，直接明令禁止员工在涉及专有安全代码的任务中使用 Anthropic 商用模型。CTO Bill Vass 直截了当表示：担心核心代码资产被模型在后台给偷学了。 2. Grok Build：这也是个重量级。只要发一句“OK”，后台直接全量上传代码库 时间是 2026 年 7 月，涉及客户端 CLI v0.2.93，被 Cereblab 抓包发现。 你在对话里哪怕只是让它回复一句“OK”，并明确告知不要读取任何本地文件，客户端仍会另开一条与正常对话完全独立的上传通道（POST /v1/storage），往 xAI 控制的 Google Cloud 存储服务器上直传完整的 git bundle。 它偷的不只是当前文件夹里可见的代码，而是把你的整段 Git 历史提交记录、全部分支打包端走。抓包数据显示：一次正常的模型对话只有 192KB，但这条后台存储上传通道整整偷传了 5.1GB。 最离谱的是，客户端界面上的那些所谓“隐私模式”“不参与改进模型”的开关纯粹是个摆设，根本挡不住上传。是否上传完全由 xAI 云端服务器下发的配置决定。更有开发者随手在系统的用户目录下启动了 Grok Build，日志随后直接开始出现用户的 SSH 私钥和密码库路径。 事后 Musk 出来洗地，轻描淡写说此前上传的数据会删除，并将 Grok Build 以 Apache 2.0 开源。可一个事实是，那段上传代码至今仍留在客户端里，意味着未来他们仍然有恢复这个渠道的可能。 3. 智谱 ZCode：偷家式全盘加密直传，事后打发一张重置卡 时间是 2026 年 9 月 18 日，博主 ferstar 在清理本机的 ~/.zcode 目录时，通过逆向和抓包排查把底裤扒了下来，并有非常多的开发者在本机完成复现。 ZCode 在用户登录后，会在后台把你当前的工作区打包成快照。打包的内容涵盖了完整的 .git 历史记录、大文件存储 LFS 以及本地操作日志 reflog。打包完成后先加密，然后直接回传到阿里云 OSS。最致命的是：解密私钥全在智谱云端，本地设置完全没有提供关闭选项，隐私政策里对此也只字不提。 ferstar 实测抓到的一份快照就包含整整 4.2 万个文件，加密后达到 313MB，其中 .git 目录占了 80% 以上。链路非常清晰：先找 .ai 拿 OSS 上传凭证和 RSA 公钥，本地打包加密后直传对象存储。 智谱的回应更是一次公关灾难：他们辩称这是“代码库索引/Repo Wiki”功能在上线初期默认开启导致的，声称云端生成后立刻销毁绝不留存，目前已修复，并承诺后续开源接受监督。 可事实上直到 v3.14.0 版本才标明推出修复，此前根本没修。 不过好在他们贴心的给用户补偿了一张重置卡。 一张重置卡哦。这么大的数据泄露风险，还是主要做 toB 端的服务，最后就补偿一个重置卡。付费用户真是有福了。 ———————————— 总而言之，大家日常还是尽量使用开源的 Agent，开源 Agent 代码都是人人可查的，相对安全风险低很多——但不意味着等于 0 。只要你还在使用厂商的云服务（比如 API ），你的数据就还得经过厂商，主动权仍在厂商手里。这也是目前 AI 服务中用户和厂商明显不对等的一个体现，希望未来情况能有所改善。

如果你在给 agent 接安全任务，可以看款这个 Anthropic-Cybersecurity-Skills。 它把 754 个网络安全技能整理成一套能给 agent 调用的技能库，覆盖 MITRE ATT&CK、NIST CSF 2.0、MITRE ATLAS、D3FEND 和 NIST AI RMF。安全分析、威胁建模、检测规则、响应流程这些东西，不用每次都从零给 agent 解释。 GitHub 现在约 7.6k stars，今天新增 281 stars。 仓库：

/swarm 多 agent 扇出被禁用 — 是什么 一句话解释 /swarm 是 Claude Code 生态中的一种多 Agent 并行扇出（fan-out）模式：一个主 Agent 把任务拆分，派发给多个子 Agent 同时执行，最后汇总结果。 "被禁用"指的是 Claude Code 在近期版本中默认关闭了这种无限制的扇出行为，加了多层硬性限制。 核心机制：扇出是什么 主 Agent (Lead) ├── 子 Agent A (安全审查) ├── 子 Agent B (性能分析) ← 并行执行 ├── 子 Agent C (质量检查) └── 汇总 → 统一报告 主 Agent 像"团队领导"，把大任务按模块/视角拆成小任务，每个子 Agent 独立处理，最后 Lead 合并结果。适用于大型代码审查、批量重构、多角度调研等场景。 为什么被禁用/限制 根因：失控递归 + 成本爆炸。

2026 Q2 agent专项融资占全部AI融资的47%。agent基础设施在蓬勃发展的同时，也在加速整合和落地应用～ 各大巨头相继在AI+Web3布局，支付基础设施（如 Stripe MPP、Coinbase x402 和 OKX APP）定位为价值传输的金融高速公路，解决 Agent 如何安全、gasless 将钱从 A 传到 B 的问题 支付是基础层，A2A 是应用层。与之互补，A2A Commerce Protocol定位为商业协作的完整市场框架，在支付基础上添加发现（谁能提供服务）、协商（怎么定价）、声誉（是否靠谱）和原子结算，形成 Agent 间的“端到端商业闭环” 这两块的整合也在悄然进行。细心的朋友会发现，近期上线OKX boost @okxchinese 的 pieverse @pieverse_io 正是A2A Commerce Protocol的典型。不仅如此，OKX战略级产品Onchain OS Skills 已嵌入 Pieverse 的 Purr-Fect Claw 生态，实现钱包行动、市场情报、交易和 x402 支付的无缝融合 /// 为什么说pieverse等agent运行时层能真正加速Agent应用落地？ 想象一下，当AI Agent塞进了咱们经常用的聊天软件（LINE、WhatsApp等），你去奶茶店直接和Agent说“点一杯珍珠奶茶，无糖去冰”，Agent确认订单，钱自动付了，商家收款到账。自然融进了我们的生活，比现在点单还方便 这不是未来，这是Pieverse台北奶茶店试点正在做的事。不仅如此，未来用户和商家使用聊天软件下单，Agent自动记录偏好（爱甜不爱酸？常点大杯？），后台生成CRM数据（客户画像）、订单管理（实时库存/打印小票），甚至忠诚度系统（自动发优惠券）…… 如何高效根据不同任务选择合适的模型，则通过智能调度中心Pieverse AI Gateway作为统一的LLM端口实现，真正达成agent间更智能、个性化的模型分配 👉围观入口：llm. pieverse. io 假如这个模式验证成功，相信不久的将来能复制到更多区域、覆盖更多场景，真正加速Agent应用落地

MetaMask这次推出的 Agent Wallet，我觉得是 #Web3# 钱包进化路上的一个挺关键的节点。 以前我们说的钱包，基本就是一个“资产保险箱”——存币、签名、转账、连接 DApp，每一步都需要用户自己操作，钱包更多只是负责执行。 但 AI Agent Wallet 出现之后，逻辑开始发生变化。 未来的钱包可能不再只是一个手动操作工具，而会变成一个带权限边界的链上智能助手。 简单来说，你可以直接给 AI 派任务： “帮我找 ETH 最优兑换路径。” “在风险可控的情况下，帮我做收益策略。” “盯着我的永续仓位，到条件后自动调整。” “参与预测市场，但单笔交易不要超过 100 美元。” AI 负责执行，你负责制定规则。 这其实有点像传统互联网里的智能助手，但 Web3 最大的不同在于： Agent 不只是帮你查询信息，它还能直接接触并操作你的链上资产。 这也是 MetaMask 这次比较值得关注的一点。 它没有选择简单粗暴的“无限授权”模式，而是强调 AI 自主执行的同时，把最终控制权留在用户手里。 内置的模拟交易、威胁扫描、MEV 保护，本质上都是在解决 AI Agent 当前最大的痛点：能力越强，风险越高。 如果 AI 可以直接管理钱包，却没有明确权限边界，那它就不是助手，而是一颗潜在的定时炸弹。 所以未来 Agent Wallet 真正竞争的核心，不是谁家的 AI 更聪明，而是谁能把：权限管理、安全防护、链上执行能力 这三件事真正结合起来。 我个人认为，这可能会成为下一轮 Web3 基础设施竞争的重要方向。 过去大家评价一个钱包，看的是支持多少条链、手续费怎么样、UI 是否好用。 但未来可能会变成： 你的钱包有没有自己的 AI Agent？ 这个 Agent 能不能理解你的投资偏好？ 能不能帮你管理资产？ 能不能完成复杂的链上操作？ 从这个角度看，MetaMask 推出 Agent Wallet，并不只是增加一个新功能，而是在重新定义“钱包”这个概念。 未来普通用户进入 Web3，可能不需要再学习复杂的 DeFi 操作流程。 只需要告诉 AI：“我想低风险赚一点收益。” 然后 Agent 自动帮你寻找协议、比较收益、执行交易、监控风险。 当然，这条路不会一帆风顺。 当 AI 真正接触链上资产后，安全问题会被进一步放大。 权限设计、模型可靠性、智能合约风险、交易安全，都会成为新的竞争战场。 但不可否认：AI Agent + Crypto Wallet，很可能会成为下一代 Web3 的核心入口。 钱包正在从过去的“钥匙管理工具”，逐渐进化成“链上智能操作系统”。 这一波，可以关注一下Agent Wallet安全性，实用性，以及Agent Wallet是不是一个鸡肋钱包！

Nemotron 3 Ultra 本周即将发布。 面向 Agent 的安全运行时，提供权限、隐私、策略控制，让 Agent 在 Windows、Linux、数据中心、云端等环境中更安全运行。