看到『涵蓋 OWASP 10/10』『已併入 Microsoft 與 Cisco』『偵測率 9X%』時，問五題：誰說的、這個詞指什麼、誰出的題、量的是什麼、一手來源在哪。前面幾篇與這篇補的幾個案例，剛好各示範一題：微軟 toolkit 自己寫 7 項完整、3 項部分；ATR（一套開源的 agent 威脅偵測規則）併入 Microsoft 與 Cisco 的 PR，查過的三處都是作者本人提的；Cisco 自己量的偵測率和獨立研究量的差好幾倍；常見的 benchmark 評的是模型或 agent，不是掃描工具。
Duet、Muse、Dots、Grok Bot 和 OpenClaw、Hermes 都能在背景替你處理信件與帳號，差別在電腦、憑證、審批、資料和模型這五層由誰掌握。代管型在寄信、付款前有審查模型和你的核准把關；OpenClaw 和 Hermes 預設把工具直接跑在主機上，OpenClaw 連核准都不跳，要照官方強化設定自己開沙盒。
這四個安裝前掃描器的做法可以分成靜態規則、LLM 判斷、實際連線讀 MCP server 三種，多數同時用兩種以上。Cisco 自己的文件顯示，只靠規則時，面對沒見過的惡意樣本只抓到約 8%；第三方測試也顯示，換一批樣本數字就大幅改變。掃描器適合當輔助篩選，「沒有發現」不等於安全。
Perplexity Computer 在 10 月 20 日新增完全本地模式：模型與 agent 都跑在 Apple silicon Mac 上，Pro、Max、Enterprise 訂閱者可用，官方建議 36GB 以上記憶體。檔案與推理留在本機，但即時資訊、瀏覽器和寄信仍會連網。
先固定告警在偵測什麼，再區分誤報、已擋住的攻擊和證據不足。讓助手提出帶事件依據的分流建議，關單需要符合事先定義的條件。
用有步數、目標與逾時限制的 HTTP 測試迴圈，理解規劃器、執行器與驗證器如何交接，以及何時停止。
重播工單攻擊鏈，再讀 Anthropic 公開事件報告，分清每一步的證據、人類決策、評測捷徑與供應商觀測限制。
把工單服務的文件與 HTTP 觀察整理成有來源的攻擊面，區分已確認功能、權限假設與下一個最小測試。
先追身分、物件與回傳路徑，再驗證正常和越權案例。審碼評論只提出假說，實際回覆與獨立政策才決定漏洞是否成立。
想查程式判斷就用可重設的副本，想查部署邊界就保留雲端條件，想驗真實系統就對齊專案範圍。換環境時保留問題與判準，重新記錄改變的條件。
對真正 HTTP 工單服務重播利用請求，比對修補前後、正確資源內容與正常使用者，排除只靠狀態碼的假成功。
後端從可信認證取得操作身分，再依資源與動作判斷權限。用同租戶且本人擁有的工單政策，驗證允許、跨租戶與同租戶越權。
先保留來源與時區，再排序與關聯請求。工具讀到一張工單只能證明那次讀取；摘要、缺失日誌與修補後拒絕，都不能替代原始證據。
把同一筆惡意工具提案交給不同執行路徑，分開檢查模型被帶偏與未授權副作用；提示標記、資料權限與動作批准各有不同工作。
用同一組 HTTP 請求比較有洞版與修補版，保存工單讀取證據、稽核事件與時間線。越權讀取要被擋住，正常使用者也要繼續讀得到自己的資料。
分開驗證工具來源、完整定義、權杖受眾與下游動作；雜湊能發現描述變動，無法證明遠端程式維持相同行為。
先確認誰解讀模型輸出，再按 HTML、URL 與操作參數各自處理；JSON 合法、文字轉義與資源授權不能互相取代。
從同一套客服助理出發，學 AI 如何協助找漏洞、AI 系統如何守住資料與工具權限，以及如何用 AI 調查、修補。每條路線都交出可重現的證據。
修補要同時擋住越權、保留正常功能，並在實際目標重跑。告警消失和本機副本通過，各自只能證明其中一部分。
拆解惡意附件如何變成錯誤工具請求，對照真實 LLM 訓練平台與固定動作重播，分開驗證模型偏移與資料外洩。