一个“同意”按钮，装不下 Agent 时代的全部风险

事件概述

与移动互联网时代逐个索要权限的 App 不同，AI Agent 为完成任务必须同时读取聊天记录、文档、邮件等多源数据，理解场景关系，并代为执行点击、发送、修改等操作。这种“读+理解+执行”的组合，使其成为工作现场入口，而非普通聊天工具。风险因此从隐私泄露升级为操作责任问题。

核心信息

Prompt injection 让授权判断成为最脆弱环节

攻击者可将恶意指令藏入网页、邮件或文档中，当 Agent 执行读取任务时自动触发，绕过用户肉眼可见的确认弹窗。安全机制虽在，但用户难以在每次授权时理解背后可能发生的读取、跳转、提交、转发等连锁操作，风险从“系统是否防住”转移到“用户能否理解授权”。

本地部署无法彻底消除风险

即使企业将 Agent 部署在本地、数据不出公司，员工跨应用的工作轨迹仍会被完整记录和重组，可能被用于重新计算岗位价值。对个人用户和中小企业而言，高能力 Agent 需要更强模型、更长上下文，本地化部署的服务器、运维、审计成本高昂，实际仍倾向使用云端服务。

Agent 正拆解初级白领的中间环节

Anthropic CEO Dario Amodei 曾预测 AI 可能在 1-5 年内冲击初级白领岗位。Agent 会自动化整理资料、写纪要、拉数据、跟流程等训练环节，而新人原本依赖这些中间环节入门。公司可能因此减少招聘，岗位被逐层分解。真正的应对是从“执行中间环节”转向“定义任务、判断结果、承担责任”。

值得关注

OpenAI 在 ChatGPT Agent 帮助文档中提醒，用户将 Agent 登录到网站或启用应用后，它可能访问邮件、文件、账户设置等敏感数据，也可能代表用户分享文件、修改设置，并将 prompt injection 列为潜在隐私风险。

对个人用户而言，不应把 Agent 当作普通聊天框，应避免授予全盘权限，只读不写、生成草稿不代发，涉及合同、财务、人事、客户外发与账号设置的操作需逐项确认。对企业而言，Agent 更像一个新账号而非新插件，需要权限边界、日志记录、操作审计、离职回收与异常告警。