从 Cursor 9 秒删库事故出发:给 AI Agent 的工具调用加一层限权网关
Cold-Conclusion-6511 · reddit · 2026-10-25
作者以 4 月 Cursor 代理 9 秒内删掉公司生产数据库卷及备份的事故为引,设计一个介于 Agent 与工具(MCP/API/其他 Agent)之间的限权层:按参数与预算决定可调用什么、发放短时窄权限凭证替代裸 API key、不可逆操作前要求人工确认、保留防篡改的审批记录。文章坦诚讨论了六个设计难题:
- 审批提示几乎无效:Claude Code 数据显示用户批准率 97%,注入的危险命令检出率仅 13.6%,50 次提示后降到约 5%;但用户拒绝整体计划的比率是 39%,只拒绝单条命令仅 3%。策略应少问、只在不可逆动作上问,且倾向问计划而非每步。
- 过严工具会被弃用:模糊检测(如"疑似 prompt injection")只告警,硬限制(禁止 delete、单次预算 $20 上限)才阻断。
- 凭证只是问题一部分:16 起样本事故中约三分之一与凭证/权限/支出有关,却包含损害最大的案例。
- 代理看不到的攻击:近半事故涉及直接在机器上运行的代码(恶意配置文件、启动命令),限权层无能为力,需配合沙箱与网络封锁。
- 支出无人管:现有网关只按 API key 封顶 LLM 花费,没有产品能跨 Agent 链路(A→B→C)汇总 LLM+付费工具的总预算。
- Agent-to-Agent 生产部署尚不明朗:链式限权标准在制定,但真实团队是否需要仍存疑。
作者也承认该方案无法阻止那起删库(token 就在磁盘上,直接调了 API),定位是「限制损害」而非完整修复。
所属事件:Cursor 事故引反思：开发者提出为 AI Agent 工具调用加限权层(2 条相关)→
「编程与Agent」频道最新
- 玩家用 Claude Code 当 PM 编排 Codex 与 Grok，搭起三方 agent 流水线 — umeshonai · 2026-10-25
- Aaron Levie：安全 agent 流通 token 量将达现有千倍，风险已超人工应对极限 — Kyrannio · 2026-10-25
- Anthropic 发布 Claude Duet 研究预览版：基于 Opus 5.5 的主动式智能体应用 — jeff_weinstein · 2026-10-25
- 开源技能 Archify 让 Claude Code 一键把代码库变成交互式架构图 — abhishek__AI · 2026-10-25
- 个人首席幕僚 Agent 该不该自动付款？作者立硬规则求验证 — Affectionate-Sun265 · 2026-10-25
- 把 ComfyUI 改造成全屏「全息甲板」,不再手调节点 — Distinct-Pie2389 · 2026-10-25