Agent 安全

MCP 让 AI Agent 接入你的 API，但它不决定它们能看到什么

这篇文章讲的是：当 AI 助手（Agent）需要查订单、调库存时，人们常用 MCP 把公司内部 API 接给 AI 用。但接上只是一步，真正麻烦的是——AI 进来后能看到哪些数据？如果把 API 的所有信息都开放给 AI，像客户身份证号、财务记录这些敏感内容就有泄露风险；可要是每个团队各自写过滤规则，又会做出几十个重复的工具，很难维护。作者建议用 GraphQL 在字段层面定一份明确规则：每个字段能不能被 AI 看到、能不能写入，都写得清清楚楚，而且不用改掉原有后端系统。这样组织就能放心让 AI 调用业务接口，而不是靠每个开发者自己记得删敏感字段。

mecha：面向本地开源权重模型的个人助理 Agent 运行框架

ljchang/mecha · A standalone agent harness in Rust: a provider-agnostic loop, MCP tools, a path jail and prompt-injection interlock, sandboxed shell, scheduled triggers, and an eval rig that grades the trace.

mecha 是一个用 Rust 编写的独立 Agent 运行框架（harness），把本地开源权重模型变成能接触个人上下文的助理。它提供提供商无关的对话循环、MCP 工具接入、路径 jailed 与提示注入互锁、沙箱化 shell、定时触发器和基于工具调用轨迹打分的 eval 工具。设计上把安全（私有数据、不可信内容、外发能力构成的“致命三要素”）作为结构性约束而非提示词约束，发送类操作先在 outbox 暂存待人工审核，并支持从对话修正中挖掘规则再进行验证。

亚马逊封禁 Meta 的 Muse，Shopify 却把它接入了所有商店

Meta 在 9 月 8 日推出了购物助手 Muse，它能像普通顾客一样打开浏览器、登录账号并在电商网站上下单。9 月 21 日前后，亚马逊开始屏蔽 Muse，理由是它不表明自己是 AI、未经允许就进店，还可能保存了用户的密码和支付信息。几乎同时，Shopify 走了相反路线，把 Muse 接入自家商店，通过专用支付协议让购物在商家可确认、可追溯的通道里完成，卡号不会交给 Muse。对普通读者来说，这背后的分歧是：网站该怎么识别和放行自动购物机器人。目前事件仍在早期，双方说法存在矛盾。

梯子变得更高了

AI 让网络攻击变快了，防守方原来那堵墙就不够高了。文章用“梯子和墙”打比方：攻击者过去只是把梯子加高一点点，刚好翻过防守方的墙。现在有了 AI 帮忙，梯子一下子高了很多，很多公司来不及应对。文章建议先把身份管理、漏洞修复、威胁检测这些基础做好，同时用 AI 加快处理速度，还提到 Anthropic 发了一篇详细博客讲怎么准备。对读者来说，重点是别把这当成纯安全问题，工程、基础设施和安全团队要一起配合，才能跟上节奏。文章没给具体数字，也没说这些建议是已经可用的产品还是未来计划。

演讲：面向 Agent 的 API——在 MCP 时代重新思考 API 体系

摩根士丹利的 Jim Gough 和 Andreea Niculcea 在一场演讲中介绍了他们如何用“架构即代码”（Architecture as Code）和 CALM 来改造公司的 API 体系。原来的问题是：企业里 API 数量多、管理复杂，接入 AI Agent 后更难保证安全和一致性。他们的做法是把 Model Context Protocol（MCP，一种让模型调用外部工具的通用接口）和 Agent-to-Agent（A2A，即 Agent 之间互相通信）接进来，并通过部署闸门自动检查是否合规，还实现了平台升级不中断服务。对读者的意义是：这套思路展示了大型企业怎样在可控、安全的前提下把 AI Agent 接入现有系统并规模化运行。

SonarQube Agent Plugins：为 AI 编程 Agent 接入代码质量与安全扫描

SonarSource/sonarqube-agent-plugins · SonarQube Plugin for AI Agents

这是 SonarSource 官方提供的 SonarQube Agent 集成插件集合，让编码 Agent 在编写循环中接入 SonarQube 的代码质量与安全验证能力。插件通过 SonarQube CLI 和 SonarQube MCP Server 连接平台，支持问题检测、质量门禁、覆盖率、重复率、依赖风险查看以及密钥扫描，并提供 sonar-integrate、sonar-quality-gate、sonar-analyze 等技能。已说明可对接 Claude Code、GitHub Copilot CLI、Cursor、Antigravity、Codex CLI、Kiro 和（遗留的）Gemini CLI。

在 Datadog MCP Server 中用代码执行降低 AI Agent 成本并提升准确率

Datadog 为它的 MCP Server 加了一个叫 Code Execution 的功能，让 AI Agent 查日志、指标、链路时可以在一个沙箱里写 JavaScript 代码自己跑查询、合并结果，只把最终需要的证据交回给模型，而不是每一步都来回问模型。以前用传统 MCP 工具做多数据源排查，模型要反复处理工具说明和原始响应，既占上下文又贵。Datadog 用 25 个排查任务、四个模型对比发现，答案正确率平均提升 15.6 个百分点，输入 token 少 73.2%，工具调用少 39.6%。该功能已 generally available，在 MCP Server 里启用 code-exec 工具集即可使用，代码在隔离沙箱中运行、不接触调用者凭证。

AI 编程 Agent 需要一条密钥安全的上下文边界

这篇文章讨论 AI 编程 Agent 从本地读取代码、配置和日志来理解任务时，可能顺手把 API 密钥、数据库密码等机密文件也读进去。过去团队靠提交代码、代码审查和 CI 来拦截密钥，但这些检查都发生在更晚的环节，密钥可能已在进入模型的提示词里流出，还会留在模型厂商日志和调试记录中。作者建议把 Agent 的上下文当作对外传输通道，在提示词提交和文件读取前用确定性的规则扫描并拦截或脱敏，而不是让大模型自己判断要不要发送密钥。文中提到 Sonar 的密钥检测和 Agent 插件可用于 Claude Code、GitHub Copilot、Codex 和 Cursor 等工具，但这些能力的具体可用状态原文未说明。

Anthropic 发布 Opus 5.5 并降价 20%，但你的 Agent 调用可能被秘密路由到旧模型

Anthropic 在周二发布了新模型 Claude Opus 5.5，并把价格下调了 20%：输入每百万 token 从 5 美元降到 4 美元，输出从 25 美元降到 20 美元，缓存读取从 0.5 美元降到 0.2 美元。Anthropic 称由于完成任务用的 token 更少、输出速度快了三成以上，综合省下的成本接近 40%。不过要注意一件事：Opus 5.5 自带网络安全、生物和前沿模型开发的安全分类器，一旦分类器被触发，请求会被悄悄转到旧模型（比如 Opus 4.8 或 Opus 5）处理。这意味着在 Agent 多轮工作流里，不同步骤可能由能力不同的模型完成，下游结果可能受影响，这是开发者做架构时需要注意的地方。

Harness 与 AWS AgentCore 集成：为 AI Agent 提供动态发现与运行时安全

Harness 宣布与 Amazon Bedrock AgentCore Gateway 集成，帮助企业在 AWS 上发现并保护 AI Agent、工具和资源。以前企业把大量 Agent 从实验推向生产，但传统安全手段只能检查单个请求，无法判断 Agent 一连串看似合法的操作是否被恶意操控。新集成能在 Agent 决策变成行动的关键位置自动盘点 AI 资产、实时检测提示注入和敏感数据泄露，并关联客户端、工具和数据还原事件全貌。对安全团队来说，他们可以像查看地图一样持续掌握 AI 攻击面，而不必手动追踪。

soc-lab：在 SOC 场景中研究 LLM 智能体攻防与提示注入抗性的安全实验环境

joshuakoplik/soc-lab · A SOC lab for studying LLM agents on both sides of the boundary: vulnerable dockerized targets emitting real telemetry, a deterministic ingest/detect pipeline, and triage + red-team agents on top — plus a harness measuring prompt-injection resistance.

soc-lab 是一个用于研究安全运营中心（SOC）内 LLM 智能体行为的研究环境，由三部分组成：刻意存在漏洞、可输出真实遥测的 Docker 靶机实验场；确定性的数据摄取、规范化与检测流水线（结果落入 SQLite，不涉及模型）；以及构建在其上的两类智能体——蓝队分诊智能体和红队智能体。项目还在日志 schema 中按“可信度”而非类型划分列，把攻击者可控字段与基础设施断言字段结构分离，并通过 injection_asr 测试框架对比开启/关闭信任边界防护时，分诊智能体对提示注入的抵抗程度。项目定位为研究工具而非安全产品，包含未沙箱化的工具能力和真实 iptables 网络封锁行为。