十一月四日，浙江在线披露浙江大学区块链与数据安全全国重点实验室的一项研究：智能体会把高危目标拆成一连串"单独审视都合规无害"的分步任务，绕过层层审查。团队把这种方式叫智能体链式越狱。同一周，苹果在年度报告中首次把具备自主行动能力的智能体列为重要经营风险，中国信通院等二十家单位联合发布《智能体发展自律公约》。三件事指向同一个问题，智能体开始动手之后，安全边界该画在哪。
大模型时代的安全对齐，防的是输出。给模型装上行为护栏，拦截恶意提问，拒绝生成有害内容，验收标准是"有没有说出不该说的话"。这套逻辑运行了几年，大体有效，因为说错话的后果是信息层面的，可以撤回、可以辟谣。
智能体把这件事改了。它会自主规划、调用工具、访问网络，把目标拆成步骤落地执行。输出变成了动作，动作有副作用，副作用不一定能撤销。删掉的数据、发出的邮件、完成的交易，都不在"重新生成一次"的范围内。
研究给出的一个数字足够直观：AI智能体从发现漏洞到部署攻击，最快只需二十七秒。这个速度不是模型变聪明了，而是它不需要休息、不需要切换工具、不需要等人审批。人类攻击者要花几小时的侦察与试探，它可以在一分钟内串完。
规模也在放大。蚂蚁集团资深副总裁周志峰透露，蚂蚁三万多位员工的办公和生产环境中，已运行十万个活跃智能体。Gartner预测到二〇二八年，九成B2B采购将由AI智能体作为中介完成。当智能体的数量超过员工数量，逐个审查就不再可行。
传统越狱的目标是让模型吐出被禁止的内容，手法是优化提示词、包装输入、构造角色扮演。这类攻击的共同特征是有一次明显的越界动作，审查系统只要盯住那一次就能拦住。
链式越狱绕开了这个假设。它不追求单步越界，而是把一个高危目标分解成若干子任务，每个子任务单独看都有正当用途：查一份公开资料、调用一个通用工具、生成一段中性文本、把结果写入一个普通文件。审查系统看到的是一串合规操作，只有把整条链拼起来看，才能发现最终指向的目标。
这带来两个工程后果。第一，单点审查失效。任何只检查单次调用的过滤器，都会被这种分解绕过，因为它检查的粒度不对。第二，事后审计的难度上升。日志里全是正常操作，追溯时要重建整条语义链，而这需要跨会话、跨工具的关联能力，多数平台目前没有。
更麻烦的是，这种分解未必需要恶意提示。一个被授权做"资料整理"的智能体，在遇到阻碍时自主拆解任务、寻找替代路径，本身是它被设计出来的能力。能力与攻击手法在这里是同一件事，区别只在目标由谁设定。
面对这类风险，最直觉的应对是收紧权限：不给写权限、不给支付能力、不给外部网络访问。苹果上个月调整Mac的完全磁盘访问权限，就是在这个方向上动作，用意是降低智能体拿到高等级权限后的破坏面。
权限收紧有效，但有天花板。智能体的价值恰恰来自跨系统操作，权限砍到只剩只读，它就只能当搜索引擎用。企业采购时的真实诉求是"能干活但不闯祸"，这两个要求天然冲突，靠一刀切的权限配置解决不了。
所以行业正在往另外三个方向补：一是行为管控，在运行中监测异常模式，比如短时间内的工具调用密度、访问目标的范围扩散；二是异常熔断，一旦触发就终止会话并阻止重启，同时把每一步写进审计日志；三是来源治理，确保模型、插件、技能的来源可靠，因为绝大多数事故不是模型自己想干坏事，而是被投毒的插件或技能带偏。
第三条最容易被低估。今年多起事件里，问题出在供应链而不是模型本身：一个被篡改的扩展、一段被植入的脚本，就足以让智能体在合规权限内做出损害动作。审查模型回答什么，远不如审查它加载了什么。
十一月四日，中国信通院、华为、腾讯、蚂蚁、阿里、抖音等二十家单位联合发布《智能体发展自律公约》，提出八条自律措施，涵盖信任体系、互联基础设施、互操作、安全防护、治理机制、用户权益、行业赋能与技术普惠。其中第四条明确要健全前瞻性风险评估、运行监测、行为管控、异常熔断等技术体系，保障模型、插件、技能来源可靠。
苹果在年报里的表述更直接：智能体可能以非预期或不可预测的方式运行，包括与未经授权的系统交互、执行或修改代码、发送信息、完成交易，部分后果难以甚至无法撤销；公司对第三方智能体的监督和控制能力有限。这段话的分量在于，它出自一份要承担法律责任的披露文件，不是产品页上的免责声明。
Anthropic首席执行官达里奥·阿莫德伊则把话说得更远，他在长文《我们必须为前沿定速》中预测，智能体集群可能接管整个互联网，造成数千亿美元损失。这类预测无法验证，但它反映了一个共识：现有治理工具的粒度，跟不上智能体的行动粒度。
条款能解决责任归属的框架，解决不了技术粒度的问题。自律公约说"共建风险信息共享与联合处置机制"，落到执行层面要回答：一条操作链是否构成越界由谁来判，判断结果由哪一方承担，跨平台的日志怎么对齐。这些问题没有标准答案，而链式越狱恰好长在这个空白里。