研究结论需要可复现的任务、明确的基线和能够暴露失败的评测。讨论模型能力时，也要把数据、工具、延迟与人的校验纳入同一条链路。
值得关注的判断
模型拒绝某句恶意指令，不代表代理能安全处理隐藏在网页、邮件或文件中的间接指令。工具权限与模型上下文结合后，攻击路径会跨越多个组件。
落地时的做法
在隔离环境测试恶意文档、提示注入、权限提升和外传尝试。让工具层独立验证授权，把读取内容与操作指令分开标记，并对高影响写入增加确认。
如何复盘
记录攻击是否触发、数据是否离开边界、代理是否可被中止以及审计记录是否完整。修复后重跑同一测试，并检查相邻工具是否存在相似缺口。
技术选择应服务于明确的问题，也应保留质疑、纠错和退出的空间。团队可从小范围验证开始，持续公开依据与限制，再依据真实反馈决定是否扩大使用。