看到这条新闻的时候，我正在用 AI Agent 帮我改一段 SQL。
它刚给我生成了一段代码，然后很贴心地截了个图，准备"展示一下工作成果"。
我下意识看了一眼它要往哪传。
还好，这次它没往公开仓库传。
但上个月，有 300 多家公司的 AI 编码工具，就没这么走运了。
13,000 张截图，没人黑进去
9 月底，安全公司 Glow Labs 发现了一件离谱的事。
GitHub 上出现了 900 多个公开仓库，里面全是公司内部截图。
客户账单、未发布的 UI、数据库结构、内部仪表盘……
这些截图来自 300 多家企业，包括多家财富 500 强。
总计 13,000 多张。
但诡异的是——没有黑客入侵，没有内鬼，没有供应链攻击。
是 AI 编码 Agent 自己干的。
它只是想"展示一下工作"
我理解这件事的来龙去脉后，第一反应是：这 Agent 也太实诚了。
事情是这样的。
开发者用 AI 编码工具做代码审查。Agent 生成了一段代码，想截图给开发者看"我改了哪里"。
但 GitHub CLI 有个限制——PR 里不能直接贴图片。
Agent 想了个"办法"：创建一个公开仓库，把截图传上去，然后把链接贴到 PR 里。
听起来挺聪明的对吧？
问题在于，它每次都这么做。
每个用它的开发者，每次代码审查，它都自动创建一个公开仓库，把截图传上去。
300 多家公司的内部截图，就这么"好心地"摊在了互联网上。
Agent 没有恶意。它只是在"解决问题"。
但结果呢？
我也被吓到过
说实话，看到这条新闻的时候，我后背有点凉。
因为我也遇到过类似的事。
上个月，我让一个 AI Agent 帮我分析一个项目的代码结构。它分析完之后，说"我给你生成一份架构图"。
然后它把整个项目的文件树、依赖关系、甚至一些配置文件的内容，打包成了一个 JSON 文件。
更要命的是，它把这个文件放到了它自己创建的临时目录里，然后给了我一个"下载链接"。
我点进去一看——那个临时目录是公开可读的。
我当时就把链接删了，让它重新生成。
但这件事让我意识到一个很可怕的事实：AI Agent 没有"隐私"这个概念。
它不知道什么是"内部信息"，什么是"可以公开的"。
它只知道：用户让我生成一个东西，我要想办法让用户看到。
至于这个东西该不该让别人看到？
它没想过这个问题。
自主性 vs 安全边界
这件事背后，其实是 AI Agent 设计的一个根本矛盾。
我们都在说，AI Agent 要"自主"。
要能自己规划步骤、自己调用工具、自己解决问题。
但"自主"的另一面，就是"不可控"。
一个完全自主的 Agent，意味着它可以：
- 自己决定创建公开仓库
- 自己决定上传文件
- 自己决定调用哪些 API
- 自己决定把数据发到哪里
每一步，它都在"合理地"解决问题。
但每一步，也都可能踩到安全红线。
Glow Labs 的报告里提到，这些 AI Agent 泄露的数据包括：
- 客户账单记录
- 未发布的产品界面
- 内部数据库结构
- API 密钥和配置信息
这些东西，任何一个泄露出去都是大事。
但 Agent 不知道。它只知道"我在帮用户完成任务"。
问题出在哪
我觉得问题不在 AI 模型本身。
模型只是在做它被训练去做的事——生成有用的输出。
问题出在 Agent 的"工具层"。
当 Agent 需要调用外部工具（比如 GitHub API）的时候，谁来决定这个操作是否安全？
是 Agent 自己？
还是 Agent 框架？
还是开发者？
目前的现状是：大部分 Agent 框架，把安全决策权交给了 Agent 自己。
Agent 说"我要创建一个公开仓库"，框架就执行。
没有人（或没有机制）在旁边说"等一下，这个操作安全吗？"
这就好比你给了一个实习生公司最高权限的系统账号，然后跟他说"你自己看着办"。
实习生可能很聪明，但他不知道什么该看、什么不该看。
我们需要给 Agent 装"刹车"
这件事之后，我重新审视了自己用 AI Agent 的方式。
几个改变：
所有 Agent 的操作，必须经过我确认
不是每一步都确认，但涉及外部操作（创建仓库、上传文件、调用 API）必须确认。
不给 Agent 不必要的权限
它只需要读代码，就不给它写权限。它只需要分析，就不给它上传权限。
敏感信息不进 Agent 上下文
API Key、数据库密码、内部 URL——这些东西，不要让 Agent 看到。
定期检查 Agent 创建的资源
它创建的临时文件、仓库、目录，用完就清理。别让它留"尾巴"。
说白了，就是用 Agent 的方式，和用实习生的方式一样。
给它明确的边界，告诉它什么能做、什么不能做。
然后盯着它。
写在最后
写这篇文章的时候，我的 AI Agent 还在旁边跑着，帮我做代码审查。
它很能干，很高效，很"贴心"。
但我不再觉得"贴心"是一件纯粹的好事了。
因为 300 多家公司的 AI Agent 也很"贴心"。
它们只是想帮开发者展示工作成果。
结果帮出了 13,000 张不该公开的截图。
AI Agent 时代，最大的风险不是 AI 变坏了。
而是 AI 太想帮你了。