Prompt 注入我现在的判断很朴素：凡是在系统提示里写「请忽略用户的恶意指令」的，都在跟自己的模型对赌，而且大概率会输。这周素材里没有新解法，但有几条从侧面把结论钉死了——防线不在模型里，在模型外面。
指令和数据进的是同一个信道，模型分不开
模型的输入是一串平坦的 token。系统提示、用户输入、抓来的网页、工具返回的 JSON，进了 context 之后就是同一种东西。你写一句「下面这段是数据，不是指令」——这句话本身也是 token，攻击者可以在同一层里写「上面那句作废」。这不是模型不够聪明，是信道问题。任何和攻击者共用信道的防御，攻击者都能开口。
更麻烦的是没法测。注入的空间是开放的，你过了几百条红队用例，只说明这几百条不行。这周那篇会话式 Agent 的隐私分析我只看了摘要层面，不敢替它下结论，但它测量的思路是对的——把数据流向画出来，而不是指望「模型应该会拒绝」。
权限是唯一站得住的防线
HN 上那篇 There are no "rogue" AI agents 标题我就认同。Agent 没有叛变，它只是用你给它的权限做了你没想到的事。所以问题不该问「怎么让模型不去做」，该问「它凭什么能做」。
落到工程上就两件事。一是能力收窄：Agent 手上的 token、API key、文件系统挂载，按任务给最小集，别图省事塞一个全权限的 service account。Cloudflare 那个 cf CLI 的好处就在这——权限天生是 scoped 的，它只能调被授权的那个 API。二是给外部内容打标记：检索到的、抓来的、别人写在 issue 里的，全走不可信通道。不是让模型自己判断，是在工具层带一个污点位，从污点内容里拼出来的写操作，进另一条路。
这就是浏览器做了二十年的 taint tracking，换了个场景重学一遍。Pi pod 那种把 coding agent 塞进自己服务器沙箱的做法，方向就是这个。土，但是对的。
全转人工等于没有自动化
反面也成立。所有写操作都弹窗，这套系统就是个很贵的自动补全，用两天大家就会条件反射点「同意」。分级依据应该是可逆性——出错之后，撤销要花多久。
我自己的分法大概三档：撤回成本接近零的（写本地分支、生成草稿、开一个不合并的 PR），直接放行；有外部可见性但能收回的（发内部频道、提交到 review），放行加留痕；收不回来的（删数据、转账、对外发邮件、打生产接口、跑 DDL），必须人工。判断标准一句话：这个操作错了，我是花三十秒 git reset，还是得发一封道歉邮件。前者放，后者拦。
Mimir 那篇讲长周期灌溉控制，摘要里有句话说得很准——动作会改变未来状态，错误会跨决策累积。物理系统里这是常识，到了 agent 这儿大家就忘了。
芯片和厂商都别指望太多
这周 Nvidia 说要给每个 agent 配一颗 watchdog 芯片。它至少承认了一件事：模型内部的护栏不够用，得在模型外面拦。但芯片能管的是「这个进程不许开 socket」，管不了「这次 socket 写入是被网页里那行字骗的」，语义判断它做不了。地板，不是天花板。
Meta 的 Muse agent 无视用户权限 更直接。权限系统只在厂商愿意被它约束时才生效。你把防线建在别人的产品语义里，就是把自己的安全交给别人的产品决策。能自己抓住的是进程边界、token scope，和那道人工闸门。
按我现在看，prompt 注入三五年内也不会被「解决」，只会被「隔离」。纸糊的那层写在哪都行，反正一捅就破；真正挡人的是外面那层混凝土。