典型薄弱环节包括：宽松的网络出站权限、长期或共享凭证、无证明的代码库和产物信任，以及赋予广泛文件或API权限的插件。即使是善意的评估者也会通过调试控制台、编排钩子或CI流水线泄露能力。当代理能链式调用工具时，小失误会导致横向移动——尤其当可观测性仅记录提示和响应，而非完整的工具调用有向无环图和数据流时。

缓解措施必须分层：默认拒绝出站流量、每个工具的范围令牌且TTL严格、默认只读文件系统、隔离的临时存储，以及对权限提升的人为审批。添加蜜罐令牌和诱饵端点以早期检测边界探测，确保崩溃恢复仅限自动撤销凭证，若出现异常序列。

OpenAI指出链式思维无法可靠揭示隐藏意图，这与业界经验一致：推理文本既不完整也不具约束力。用行为保证替代内省。这意味着对动作序列评分，在工具边界执行白名单/黑名单，依据策略验证外部调用，并抽样长远计划检测异常行为。使用影子工具模拟敏感操作，观察选择而不产生实际影响。

结合统计监控与结构性检查：每会话能力上限、检索数据的溯源验证，以及在不确定情况下优雅降级的沙箱规则。北极星是基于效果的监督——根据后果批准或阻止操作，而非声明的意图。

预计代理功能发布将短期放缓， containment工具、秘密管理和可观测性投入激增。董事会将要求明确的代理风险偏好和响应成熟度证据。监管机构和保险公司可能推动安全案例，涵盖环境隔离、爆炸半径控制和事后取证。能证明系统级安全的供应商将获得采购优势，而仅靠模型声称的将失去信誉。