AI Agent 接几十种工具，谁来管它以后还可不可信

一个以前用着没问题的 MCP 包，你会在每次调用前都重新检查吗？

GCSA 提到的 Bitkub 风险，麻烦就麻烦在这里：一个此前被引用的 MCP 包，被第三方重新注册了。名字还是那个名字，控制它的人却换了。用户如果继续沿用旧配置，把 API 凭证交给它，就可能面临泄露风险。我们很容易因为“以前用过，没出过事”，省掉后面的检查。

再看另外两起。KuCoin 的官方发件人身份被冒用，用户被诱导下载疑似远控软件，相关 DMARC 配置问题后来已经修复；Avalanche 生态里的 TranchePool，则因为结算逻辑漏洞，被提走约 101 万 USDC。这里面要查的东西各不相同：邮件到底是谁发的，软件包现在由谁控制，合约又是根据什么条件放款。

最近币安的事件，也让我想到这一点。根据币安公布的初步调查，攻击者通过假招聘诱导工程师下载恶意代码，随后利用内部 AI 工具扩大入侵范围，最终触及钱包签名服务。平时工作中使用的工具，在这次攻击里成了继续入侵的跳板。

这也是我对 AI Agent 安全比较担心的地方。以后一个 Agent 可能要调用几十种工具，接入不同的 API 和第三方服务。让用户每次都去查开发者、读代码、核对权限，显然不现实。可一个工具接进来时没问题，也不代表它以后一直没问题。

所以，安全系统得把接入之后的事情也管起来。维护者换了，权限扩大了，调用行为跟以前不一样了，能不能及时发现？真出了问题，又能不能及时收回权限，避免牵连其他服务？

这些检查不能全靠用户自己记着做。工具越来越好用，接入也越来越方便，但判断它还能不能继续信任，并没有跟着变容易。这才是还需要补上的一块。