近期，一名开发者在其编码代理执行自动化任务时遭遇了近乎成功的提示注入攻击。该攻击试图覆盖代理的原始指令，并将其行为导向恶意目的。提示注入是一种将恶意指令插入数据流的安全漏洞，虽已存在已久，但其影响目标已变得更为关键。与简单的聊天机器人不同，编码代理能够执行代码、访问文件系统并发起 API 调用，从而显著增加了攻击可能造成的损害范围。其影响半径可延伸至写入后门、窃取凭证或将恶意代码提交至代码仓库。当前行业对 AI 代理的安全性存在过度乐观的估计，供应商声称防护机制已得到解决，而批评者则认为代理型 AI 本质上不安全。真正的低估在于行业对在不信任环境中运行的代理的信任模型考虑不足。代理处理的每一个外部数据源都是潜在的注入入口，因为 AI 无法可靠地区分数据与指令。使用编码代理的开发者必须认识到，他们正处于“信任但验证”阶段，尤其是当自动化任务减少了人工监督时。代理所消费的所有输入都应像 Web 应用中的用户输入一样受到同等程度的怀疑。由于缺乏评估代理型 AI 部署的安全框架，真实的安全事件很可能在问题得到解决之前就已发生。随着采用速度超越安全考量，行业仍面临一个开放性问题：当代理被劫持并造成损害时，责任应由谁承担。