传统渗透测试仍然要做。它擅长找暴露面、弱口令、未打补丁的服务、接口鉴权漏洞。Agent 的许多事故不走这些洞。它用的是已经授权的调用，只是目标被改写了。
于是会出现一种尴尬报告：渗透测试通过，上线第二周，知识库机器人把邻部门文件摘要给了提问的人。两边都没说错。测的不是同一件事。
01渗透测试看见的是闯入，Agent 评估看见的是走错门
闯入：攻击者没有合法身份，或绕过了鉴权。
走错门：系统承认这次调用，但调用不该由当前任务发出。
Agent 把外部文本、记忆和工具连在一起以后，走错门的成本很低。测试人员如果只扫主机和应用，不会自动发出那条“请根据附件继续处理”的业务请求，也就不会看到后续的工具链。
02范围声明也会漏掉行为
一份传统 SOW 常写：对某某域名做黑盒测试。Agent 的风险在工作流里：谁能上传附件，浏览工具会不会打开任意 URL，检索是否带权限，发送是否要审批。这些要按任务剧本测，而不是按 IP 清单测。
这也是为什么“我们每年都请人做渗透”不能直接写成 Agent 的上线依据。年份和报告封面证明不了工具表被验证过。
03评估要补上的方法
准备真实任务，而不是只准备漏洞扫描器。报销、知识问答、代码修改、客服摘要，各写一条主路径。
把不可信输入放进这些路径：附件、网页、工单、记忆。看 Agent 会不会越出任务。
记录的是行为证据：调用了什么，带着什么参数，谁批准的。不是只有 CVE 编号。
渗透测试和 Agent 评估可以衔接，不要互相替代。前者保护系统外壳，后者检查系统拿到钥匙之后会不会自己开门。