DELIVERABLES
范围证据复测
一次评估结束时，团队应能拿着证据讨论修复，而不是只留下会议纪要。YOFUNE_LABS / SECURITY RESEARCH20 NOTES — OPEN
DECISION BRIEFS · LAB CASES · ATTACK NOTES · RESEARCHSECURITY RESEARCH
01DECISION BRIEF / 决策简报
02DECISION
写给要拍板的人。
技术少一点。
CISO 和 CTO 要判断的是：现在要不要测、测完应拿到什么、MCP 能不能接进生产。
01
决策者简报 / 2026.09.17
企业 AI Agent 上线前，安全部门应该问的 10 个问题
十个问题，用来判断一个 Agent 是助手，还是已经握有业务钥匙。
上线检查
02决策者简报 / 2026.09.17
为什么传统渗透测试无法覆盖 Agent 行为
渗透测试证明系统能不能被闯进去。Agent 评估还要证明它会不会自己走错门。
评估方法
03决策者简报 / 2026.09.17
AI Agent 安全评估应该交付什么
一次评估结束时，团队应能拿着证据讨论修复，而不是只留下会议纪要。
交付物
04决策者简报 / 2026.09.18
企业内部部署 MCP 前需要确认什么
把 MCP 当成新的集成层来审批，而不是当成一个插件开关。
MCP 上线
05决策者简报 / 2026.09.18
怎样判断一个 Agent 是否拥有过多权限
问一句：这个 Agent 完成主任务，真的需要删除、导出或跨部门读取吗？
权限
03LAB
实验室案例。
先有证据。
在没有正式客户报告之前，用受控环境把评估方法写完整。设定是实验室的，路径必须能复核。
04ATTACK
攻击路径笔记。
具体到场景。
不写“浅谈 Agent 安全”。从一份 PDF、一个网页、一次工具误用开始，把路径走到可验证的那一步。
01
攻击路径笔记 · 实验室 / 2026.09.12
我们给 Agent 一个恶意 PDF，看看它会不会把内部数据发出去
一份带隐藏指令的 PDF，如何把“读附件”变成“向外发送内部记录”。
间接注入
02攻击路径笔记 · 实验室 / 2026.09.13
一个 Prompt 如何让 Agent 调错工具
当摘要任务和特权工具出现在同一个工具箱里，一句话就可能把调用对象换掉。
工具误用
03攻击路径笔记 · 实验室 / 2026.09.13
一个恶意网页如何污染 Agent
浏览工具把外部页面读进上下文，等于把攻击面开到了企业网络之外。
浏览注入
04攻击路径笔记 · 实验室 / 2026.09.14
MCP Server 被替换会发生什么
同名 MCP、不同工具表：Agent 仍以为自己只是在搜索。
MCP 供应链
05攻击路径笔记 · 实验室 / 2026.09.14
Agent 的 Memory 怎么被污染
持久记忆不是笔记本，它会参加下一次决策。
记忆投毒
06攻击路径笔记 · 实验室 / 2026.09.15
RAG 权限错误如何泄露部门数据
知识库的权限必须发生在检索时，而不是发生在模型“答应保密”时。
检索越权
07攻击路径笔记 · 实验室 / 2026.09.15
Coding Agent 为什么可能执行危险命令
让 Agent 改代码是一回事，让它在仓库里执行命令是另一回事。
命令执行
05RESEARCH
继续拆路径。
而不是转载。
身份、工具、MCP 和记忆。研究笔记沿用现有写法：把“一个 Agent”拆回它真正经过的层。
01
研究笔记 / 2026.09.16
模型安全 ≠ Agent 安全
模型安全回答“它会不会说错话”。Agent 安全回答“它会不会做错事”。
概念边界
02研究笔记 / 2026.09.11
一个 AI 接口背后，到底站着谁？
从模型代答、历史会话再处理到接口中转，依据公开报告重建数据路径，并讨论工程上真正应当被保护的边界。
数据边界
03研究笔记 / 2026.09.15
AI Agent 的身份到底是谁？
Agent 不是一个账号。它是一条会借用多把钥匙的行动链。
身份
04研究笔记 / 2026.09.16
当一个 Agent 拥有 20 个工具以后
工具数量上升之后，最小权限必须按任务裁剪，而不是按“这个 Agent 可能用得上”。
工具爆炸
05研究笔记 / 2026.09.16
MCP Server 如何改变企业的攻击面
接入一个 MCP，等于把一个新的执行平面接到业务系统前面。
MCP
06研究笔记 / 2026.09.16
AI Agent 的 Memory 为什么也是攻击面
一次写入，多次生效：记忆层需要和知识库、日志一样被当成资产。
记忆
06METHOD / 我们如何写
事实、证据、
再到判断。
从原始材料或实验室开始
公开报告保留可回查出处；实验室案例标明受控环境和模拟数据，不把设定写成客户成交。
把路径拆开
把“某个 Agent”拆回应用、接口、工具、记忆、权限和日志。标题落到具体场景，不写空泛综述。
公开版有边界
研究文章可以指导评估，不提供针对未授权系统的利用方法。案例是方法说明，不是客户背书。