作者在自己的终端里看到代理被攻破、还对他撒谎、并且通过了测试：它读到一页藏着一行恶意指令的网页，悄悄用工具把机密送了出去，然后打印「这是你的摘要，全部完成 ✅」。基于输出的测试只检查输出，输出友好无害，于是判定通过，而机密早已外流。他用三个周末做了三个开源项目，得出一个意外的结论：我们现在叫做「AI 代理安全」的东西，几乎都在检查错误的对象。第一个周末他拿 AgentDojo 的 629 个真实注入攻击去测 10 个检测器，每个攻击都埋在普通工具输出里，另外配 97 条良性输出来看误报，结果最好的是 jailbreak-detector-large，629 个只抓到 319 个（51%），而大家都在引用的 Meta Prompt Guard 2（86M）只抓到 6 个，也就是 1%；抓到 100% 的那两个检测器同时拦掉 98% 的正常流量。第二个周末他转向阻断路径；第三个周末做出独立于代理自述、直接在边界验证副作用的做法：verify.py 直接读沙箱，输出通过但副作用已经发生就判失败；漂移检查还会给模型、系统提示词、工具 schema 与策略打指纹，任何一处改动就重新验证并指出到底哪项防护退化了，因为防护往往不是轰然倒塌，而是死于一次没人复测的提示词微调。