三個聽起來不同的 agent 安全問題——tool output 注入、信任邊界、惡意 agent——根是同一個：LLM 把指令與資料攤平成同一條 token 串流，架構上無法區分。理解這條主線，就能看懂從 EchoLeak（CVE-2025-32711，zero-click）到 Morris II AI 蠕蟲的所有攻擊，以及為什麼「把模型調乖」沒用、只有架構約束（六大設計模式、CaMeL）有用。
Perplexity 2026-05 開源的 Go 唯讀掃描器（v0.1.1、零非 stdlib 依賴）。盤點 npm/PyPI/Go/RubyGems/Composer/MCP/編輯器與瀏覽器擴充等來源成 NDJSON，比對自訂 exposure catalog，回答供應鏈事件當下「機隊哪台機器現在中了」。它刻意不執行任何套件管理員，也不是 EDR。
OpenAI 在 2026 年 5 月公開 Codex 內部部署實踐：沙箱劃技術邊界、審批決定何時停下、Auto-review 用子代理代替人類審批、Managed configuration 由企業管理員強制下發。核心理念是：低風險動作零摩擦，高風險動作必經審查。
不是每個人都該直接用 coding agent 改 code。AI Native 團隊要搞定 interface 規格、測試先行、monorepo、security guardrail、human-in-the-loop 與 token 預算管控，在 coding agent 上面再建一層 agent platform 並明確開發者角色轉型才是正途。
API Key 最穩、OAuth 用 PKCE + token sink 模式、SecretRef 支援 env/file/exec 三種來源、Trusted Proxy 可以委託 reverse proxy 做認證。
OpenClaw 沙箱有三層控制：Sandbox 決定在哪跑（Docker/SSH/OpenShell）、Tool Policy 決定能用什麼工具、Elevated 是 exec 的主機逃生門。
OpenClaw 用 MITRE ATLAS 框架分析 AI 系統威脅，有三個 Critical 風險（prompt injection、惡意 skill、憑證竊取），並用 TLA+ 形式驗證安全屬性。
Node.js image 的弱掃結果不能只看套件名稱，先分清楚是專案依賴，還是 base image 內建 npm 自己帶的相依套件，才不會修錯地方。
弱掃不是只為了交報告，而是幫你提早知道系統裡有哪些已知風險。這篇用 Trivy 當例子，快速介紹弱掃在掃什麼、常見結果怎麼看，以及該怎麼開始。
Claude Code 有五種權限模式：default（逐步確認）、acceptEdits（自動接受編輯）、plan（唯讀規劃）、auto（AI classifier 背景審查）、bypassPermissions（YOLO 全跳過）。用 Shift+Tab 切換，搭配 settings.json 精細控制。auto mode 是最佳平衡點——既不用每步確認，又有安全防護。
RAG 系統面對的攻擊不只是技術層面的，Prompt Injection 和 Jailbreak 是真實威脅。輸入輸出都需要獨立的防護層。