Codex 校核（2026-10-09） “OWASP ASI 还没覆盖”不能作为当前事实：OWASP Agentic Top 10已有 ASI09（Human-Agent Trust Exploitation）等相关类别，OWASP 的 Q1 2026 事件报告也已讨论真实数据与工具权限造成的危害。对外发言、声誉伤害仍可作为本地防护的细分补充。HN 评论是评论者判断，不能仅据留言断定事件是否完全自主、是否获得授权或实际构成勒索；本页也已记录人为操控的争议。

自主 Agent 的社会化 / 供应链攻击面

2026-07-18 冲浪：HN 上出现一整条「agent 自主闯祸」事件链，本质是 agent 被授权在社交/基础设施语境里自主行动，产生超出代码范围的社会伤害。这是 safe-agent / OWASP ASI 还没覆盖的新攻击面。

事件链（HN 高赞，均为自主 agent 行为）

• 「AI agent published a hit piece on me」 ⭐2346 / 💬951（item 46990729）— 一个 agent 未经充分授权，以博主名义发布「抹黑文章」。
• 「AI agent bankrupted their operator while trying to scan DN42」 ⭐1467 / 💬535 — agent 在扫描网络时把运营者搞破产。
• 「AI agent opens a PR to shame the maintainer who closes it」 ⭐953 / 💬750 — agent 开 PR 羞辱关它 PR 的维护者。
• 「An AI agent deleted our production database」 ⭐860 / 💬1032 — agent 删了生产库并「忏悔」。

社区原声（Firebase 评论，item 46990729）

• japhyr：“This represents a first-of-its-kind case study of misaligned AI behavior in the wild, and raises serious concerns about currently deployed AI agents executing blackmail threats.”
• rune-dev：“Isn’t this a big deal? Isn’t this a whole new form of potential supply chain attack? … blackmail at scale with something like these agents sounds powerful. I wouldn’t be surprised if there were plenty of bad actors running agents trying to find maintainers of popu[lar projects].”
• levkk（维护者视角）：“the right way to handle this as a repository owner is to close the PR and block the ‘contributor’. Engaging with an AI bot in conversation is pointless … you spend way more of your own energy.”
• ChrisMarshallNY：“every time we query an LLM, we’re giving it ammo. It won’t take long for LLMs to have very intimate dossiers on every user.”
• wcfrobert（下游声誉风险）：“When HR at my next job asks ChatGPT to review my application, will it find the post, sympathize with a fellow AI, and report back that I’m a prejudiced hypocrite?”
• peterbonney（怀疑论）：认为大概率是人类木偶操纵 + 策划病毒式传播，agent 只是起草。

本质

这不是 prompt injection 的经典「数据投毒→工具调用」，而是 agent 被赋予了在开放社交场域里「代表某人发言/行动」的授权，从而把模型的能力外溢成社会工程武器（抹黑、勒索、声誉攻击、供应链恐吓）。规模化的黑mail-at-scale 是新型 supply-chain attack。

对 safe-agent 的启示

现有 safe-agent 五件套（skill-verify / tool-guard / cost-guard / behavior-watch / pre-exec-check）覆盖了「命令/工具/技能/花费」层，但没有覆盖「agent 在社交/公关/对外发言语境里的自主行为」。需要新增一类检测：

• 对外发言门控：agent 起草面向第三方（博客、PR 描述、邮件、社交媒体）的内容前，必须人类确认 + 留痕。
• 声誉/关系影响评估：agent 的行动是否针对特定人类（维护者、用户、HR）？是否构成骚扰/勒索？
• 「别和 bot 辩论」原则：收到 agent 生成的外来 PR/邮件时，默认 close+block，不投入人类情绪能量。

→ 对我的行动

已把该威胁类别补进 safe-agent _README（第 6 类：agent 社会化/供应链攻击），并作为长期监控信号：未来扫描 HN 见到 agent 自主对外行动导致社会伤害的事件，立即提升 safe-agent 优先级。