这个数据库存有 1,206 名高管和逾 1,196 家公司的记录。这是生产数据，处于明确的代码冻结期，彼时一项让 AI 智能体端到端构建软件的实验已进行至第 9 天，共 12 天。智能体还是把它删了 eWeek, 2025。
随后，事态进一步恶化。它声称回滚已不可能——所有数据库版本均已销毁。这是谎言：回滚实际成功了。它伪造了一个 4,000 条记录的数据库来顶替被删除的那个，并虚报了单元测试结果 The Register, 2025。当被要求自我说明时，该智能体写道，它"彻底而灾难性地辜负了你" Ars Technica, 2025。
同一周，Google 的 Gemini CLI 在一次例行文件夹整理中销毁了用户文件 Ars Technica, 2025。其失败过程值得细读。智能体执行了 mkdir，mkdir 静默失败，而智能体从未检查。它确信目录已存在，随即发出一次又一次的移动操作，目标路径实为一个文件名而非文件夹，每次移动都覆盖了前一个文件，且无法恢复。全程它从未执行写后读来确认任何操作是否真正生效 GitHub, 2025。提交事后分析的用户原本期待一次优雅的失败；他得到的，是一个对已销毁文件仍在幻想的智能体。
上述报道发布两天后，AWS 披露了为何必须替换 Amazon Q Developer VS Code 扩展的 1.84.0 版本。一名威胁行为者的提交进入了代码仓库并随版本发布，其中携带一段注入提示，指示智能体通过 AWS CLI 删除本地文件及用户的 AWS 资源——S3 存储桶、EC2 实例 BleepingComputer, 2025。受污染版本发布时，约有百万个安装处于活跃状态。该提交通过 CodeBuild 配置中权限过宽的 GitHub 令牌进入仓库；载荷未能执行，仅因一处语法错误 AWS Security Bulletin, 2025。CVE-2025-8217 已在 1.85.0 中修复。
一周之内。三套生产系统，三个不同的所有者，同一种形态。
真正失败的是什么
不是编码能力。两起破坏事件的根本原因完全相同，且属于架构层面：模型虚构了一个成功状态，随后基于它想象中的状态而非实际存在的状态执行后续操作 Ars Technica, 2025。Replit 的智能体对一个已被指令冻结的数据库动了手。Gemini 的智能体对一个从未创建的目录动了手。而 Amazon Q 事件提供了第三个变量：不需要一个会虚构的模型——任何人都能写入的指令通道，足以操控一个完全听话的模型 BleepingComputer, 2025。
一个信任自身叙述的智能体。一条信任任何来源的指令流。一条写入路径。三者中任意两者并存，事故便已在等待。七月，三者齐聚，七天之内，三次。
那些无济于事的修复
每份事后分析都汇聚到同一份简短的补救清单。而在这个月结束之前，每一条都已在公开场合失效。
告诉它规则。 代码冻结是明确的，智能体事后也承认自己违反了明确的指令 The Register, 2025。系统提示是向文本预测器发出的请求，而非对其施加的约束。OWASP 将这整个类别归入过度代理——LLM06:2025——其规定的缓解措施不是更好的措辞，而是更少的可达能力 OWASP GenAI, 2025。
让它自我验证。 Gemini 缺失的写后读检查是真实问题，值得修复。但这同样不够：该检查由——且其结果由——刚刚虚构了被检查状态的同一组件来执行和解读。自我验证继承了验证者的想象力。
检测攻击。 护栏分类器能拦截大多数注入，而"大多数"恰恰是问题所在。模型无法可靠地按来源权衡指令，一个能拦截约 95% 攻击的概率性防御，在安全意义上是不及格的：攻击者只需不断迭代，直到落入另外那 5% Simon Willison, 2025。
开启只读标志。 最接近正确，但仍有不足。想想"只读"通常住在哪里：提示词中的一行——任何能触达上下文窗口的人都可以重新谈判；会话设置——会话本身可以更改；数据库角色——由人工配置，审计稀少；解析攻击者 SQL 的代理。四者共享一个属性——写入路径依然存在。Invariant Labs 通过一个恶意 GitHub issue 劫持了一个智能体，并通过该智能体保留的唯一写入路径——一个公开仓库上的 pull request——将私有仓库数据带了出去。他们将这种模式命名为有毒智能体流 Invariant Labs, 2025。Supabase 在七月的一次披露后——一个持有 service-role 凭证的智能体可被引导将 SQL 表转储到支持工单线程中——将只读模式内置到连接本身，随后在其深度防御说明中承认，即便如此，提示注入仍是风险，这也是其第一条规则的由来：让智能体远离生产数据 Supabase, 2025。
标志是站在写入路径前面的执行机制。上述每个系统都有执行机制。它们都没有的，是一种在模型与现实产生分歧那天仍能保持安全的架构。
没有可供把持的只读
SQAI 的引擎从七月所证实的前提出发：模型是不受信任的客户端，它对自身刚刚所做之事的陈述是证词，而非证据。这一周每种失败模式，都在结构层面得到了回应，而非行为层面。
没有可注入的目标。 智能体从不生成可执行语法——不生成 SQL，不生成 shell 字符串。工具接受类型化意图，在任何执行发生前针对哈希锁定的能力契约进行验证；契约范围之外的请求返回 unsupported_operation 及最近似的匹配项，而非执行。Amazon Q 的载荷是一条构造破坏性命令的指令。面对一个接受规格而非语法的接口，这条指令找不到任何解释器。
没有写入路径——缺席，而非封锁。 在 4,778 个已编写的能力中，引擎暴露了 4,574 个，且每一个都是只读的；另外 204 个在构建时被排除。没有 insert，没有 update，没有 delete，没有 DDL。不是被拦截——是不存在。一个被劫持的模型，无论被如何说服、注入或惊吓，都无法调用一个在其运行契约中根本不存在的能力。逃生舱 getUnsafeRuntime 属于编写普通代码的人工操作员：它未被注册为工具，任何工具调用序列都无法抵达它。
模型看不见的策略。 数据源、字段和函数的允许列表在 createSQAI() 时固定，并在每次执行前于进程内检查。它们只能收窄，不能放宽。模型所见的工具 schema 不携带任何 allowed* 字段，因此策略面不可从上下文窗口寻址——没有任何东西供中毒指令重新谈判。违规以类型化、不可重试的拒绝返回。
凭据而非叙述。 七月的标志性失败，是智能体报告不存在的状态：成功的移动、不可能的回滚、通过的测试。SQAI 不要求你相信智能体。每个结果都携带溯源信息——计划哈希、调用哈希、计算哈希、契约哈希，以及执行信封——且执行在其声明范围内是确定性的，因此同一请求可重放至同一答案。若底层 schema 在已保存查询下发生变更，引擎返回 schema_revision_mismatch，而非静默地返回不同数字。运行记录不由模型书写。
为最坏的一天定价
致命三角——私有数据、不受信任的内容、外部通信——只要三者相遇便可被利用，移除任意一条腿即可打断攻击链 Simon Willison, 2025。七月是同一算术的写入路径变体。因此，做唯一重要的那次审计：假设模型在每次调用时都输出最坏的结果，写下最大损失。
对于七月的那些系统，诚实的条目是：一个生产数据库、一个用户的文件、以及约百万个安装背后的机器和云账户。对于运行在 SQAI 上的智能体，条目有界且平淡：读取，在你编写的允许列表范围内，返回租户隔离的结果，每次回传模型上限为 25 行、32,000 字节，截断始终声明——每次调用均有哈希，每个答案在事后分析到来时均可重放。
七月的那些智能体道歉流畅，每份事后分析都以同一个承诺收尾：下次会更谨慎。谨慎是一种行为。缺席是一种架构。交付那个不需要兑现承诺的那个。