当AI开始说服AI
我认为，Agent 带来的一个根本变化，是软件开始承担原本属于人的判断。它不再只是执行决定，还要判断信息是否真实、证据是否充分、下一步是否应该行动。
判断权迁移到哪里，操纵判断的攻击就可能跟到哪里。这是理解“AI 开始说服 AI”的起点。
社会工程学攻击的是判断与行动的连接
传统社会工程学未必需要攻破技术系统。一封冒充老板的邮件，就可能让拥有真实身份和合法权限的财务人员，主动完成一笔错误付款。
攻击者借用的是受害者原本就有的能力。密码、权限和接口都可以没有问题，出错的是行动依据。
Agent 同样存在这条链路：接收信息，形成判断，再采取行动。它不需要拥有人的情绪或主观信念，只要把某段输入当作事实，并据此放行动作，就可能受到欺骗。
我更愿意从这个角度理解社会工程学：操纵一个主体形成信任和判断的过程，让它的合法能力产生攻击者希望的结果。这个主体可以是人，也可以是 Agent，甚至是人、模型和业务系统共同组成的决策体系。
真正的攻击面是上下文供应链
网页里藏一句“忽略此前要求”，是容易理解的提示词注入。但原文提出了一个更值得重视的方向：攻击者未必需要下达恶意指令，只要改变 Agent 据以判断的事实。
Agent 认识世界的材料，来自邮件、数据库、搜索结果、记忆、工具返回值，以及其他 Agent 的输出。这些材料共同构成它的上下文供应链。
如果材料让它误以为某个账户属于长期供应商、某份文件已经审批，或者另一个 Agent 已经完成验证，它就可能在认真执行任务的过程中，走向错误结果。
这里最隐蔽的地方，是输入看起来完全可以像正常业务信息。攻击者操纵了前提，Agent 自己完成推理。提示词注入之外，记忆污染、伪造证据和工具输出操纵，都可以沿着这条路径发挥作用。
谁能影响 Agent 看见什么，谁就可能影响它如何行动。
多个 Agent 可以把同一个错误一路传下去
原文设想了一条自动化协作链：A 提供市场信息，B 评估风险，C 制订资产配置计划，D 执行。
如果 A 的信息被操纵，B 可能基于错误前提完成合乎逻辑的分析，C 据此形成符合策略的计划，D 再按规则执行。每一环都可能遵守自己的职责，整条链却产生了错误结果。
我认为，这揭示了多 Agent 系统的一种结构性风险：增加参与者，并不自动增加独立验证。如果大家依赖同一个被污染的前提，多次转述和加工还可能让它显得更可信。
影响源也可能是另一个具有自身目标和执行能力的 Agent。一个提供现实描述，一个接受理由，另一个据此行动，机器之间便形成了具有安全意义的信任关系。
这不需要把机器想象成拥有人类社会生活的主体。只要一个 Agent 的判断能够改变另一个 Agent 的行为，信任被操纵的问题就已经成立。
合法授权回答不了这一次该不该做
这类攻击最棘手的地方，是合法性可以保留到最后。
身份是真的，权限是真的，请求格式正确，调用路径合规。执行器收到的，可能是一条完全符合接口要求的指令。系统检查出“它有资格做”，却没有发现“这一次不应该做”。
传统权限体系主要解决前一个问题。Agent 自主形成行动方案之后，后一个问题会变得更加突出：获得授权，不等于具体行动正确。
把人放回审批链条仍然有价值，但不能包办解决。自动化规模扩大后，人无法逐项重做所有判断；即使参与审批，看到的材料也可能已经被上游加工成一份逻辑完整、证据看似充分的请求。
人在循环里，未必意味着信息得到独立核实。审批人的判断同样受制于他能看到什么。
执行环节必须保有独立拒绝的能力
提高模型识别诱导的能力、过滤恶意内容、增加风险分类，都有价值。但我认同原文的核心判断：安全不能建立在判断者永远不会被骗的假设上。
错误判断要造成现实后果，最终还要经过执行：转出资金、修改数据、调用接口或下发指令。这个位置应该有独立约束，能够在请求身份和权限都合法时，仍然阻止不该发生的动作。
我理解的独立检查，必须避免只把上游结论再复述一遍。如果执行检查仍然依赖同一份被污染的上下文，多加一道流程也可能只是延长错误传播的链条。
这意味着，设计 Agent 系统时，除了问它能完成多少任务，还要问：它依据什么行动，关键依据如何核实，哪些条件下必须停止，最终谁或什么机制能够拒绝执行。
模型的判断可以成为行动依据的一部分，但不应直接成为不可质疑的最终权力。可信的结构，要能容纳判断出错，并限制错误变成现实后果。