2026 年的一组数据很扎心：88% 的组织在过去一年报告了确认或疑似的 AI Agent 安全事故（医疗行业高达 92.7%），而超过一半的 agent 跑在没有任何安全监督、没有日志的环境里。问题不在 AI 聪不聪明，在于——几乎没人给它焊上边界。 而"边界"，正是尺度。

一、最新事故清单：速度狂飙，边界裸奔

这两周的安全信号摞在一起，方向高度一致：

• 88% 的组织过去一年报告了确认/疑似 AI Agent 安全事故，医疗行业 92.7%；过半 agent 没有任何安全监督或日志——在裸奔。
• 供应链成头号入口：某插件生态遭供应链攻击，47 家企业的 agent 凭据被窃，攻击者借此访问客户数据、财务记录、专有代码，潜伏了 6 个月才被发现；公开市场 ClawHub 上一度有 824/10700 个恶意 “skill”。
• 配置即攻击面：Check Point 披露通过投毒的仓库配置文件在 Claude Code 上实现远程代码执行（RCE）；MCP（模型上下文协议）成了今年几乎每起事故的"连接组织"——投毒配置、恶意市场技能、无鉴权暴露的 MCP server。
• 截至 2026 年初，已有至少十起公开事故横跨六款主流 AI 编码工具，被归因于"agent 在边界不足的情况下擅自行动"。

一句话总结业界共识：2026 年的 AI Agent 安全，首先是供应链问题，其次才是提示注入问题。 而所有这些事故的共同根因只有一个——agent 有能力做事，却没有架构层的边界来约束它能做什么、改什么、调什么。

二、为什么"裸奔"是必然：边界装在外面，永远漏

为什么过半 agent 没监督、没日志？因为在主流做法里，边界是"外挂"的：给 agent 配个权限白名单、加个网关、事后看日志。问题是：

• agent 能调用的工具、能读写的数据、能触达的系统，散落在配置和代码里，没有统一、强制的边界；
• 一个投毒的配置文件、一个恶意 skill，就能让 agent 越过你以为存在的"边界"；
• 出了事，因为没有结构化的审计，往往潜伏数月才被发现（那 6 个月就是明证）。

外挂的边界，永远在跟 agent 的能力和攻击面赛跑。 真正的问题是：能不能让 agent “想越界都越不了”——边界不是配置，而是架构的一部分？

三、把"边界"焊进架构：让 Agent 只能在安全区动作

这正是我们做 Oinone 的核心思路——AI 负责速度，但边界、权限、审计由框架强制（尺度进架构）：

1. AI 产出的是元数据，不是代码，也不是不可控的"skill"。 "给报价单加三级审批"产出的是模型 / 视图 / 流程 / 权限的结构化元数据 diff——几十行可读、可审、可回滚的结构变更，没有藏在配置/插件里的隐形攻击面。
2. 权限与边界由框架强制，不靠外挂白名单。 谁能读、谁能改、谁能审批，是元数据里强制的一等公民；agent 改不动、也绕不过——相当于把"agent 能动什么"焊死在地基里，投毒一个配置文件也越不过框架的权限模型。
3. 天然可审计、可治理。 别人"过半 agent 无日志"，元数据驱动下每次变更都是结构化、可追溯、可回滚的 diff——审计不是事后补的外挂，是架构自带的。那"潜伏 6 个月"的事故，在这里提交时就看得见。
4. 私有化部署，数据与上下文不出环境。 不依赖公共市场 skill、不把企业上下文喂给云端不可控的 MCP server——供应链攻击面从源头收窄。

一句话：AI 负责速度，Oinone 负责尺度（Speed by AI, Rigor by Oinone）。 88% 的事故说明，光有能力没有边界一定出事；Oinone 把边界、权限、审计焊进架构，让 agent 在安全区里高速，而不是裸奔。

四、给技术选型者的三道判断题

1. 你的 agent 边界装在哪？ 外挂的权限白名单 / 网关（跟攻击面赛跑），还是架构强制、agent 想越界都越不了？
2. 出了事，多久能发现？ 靠事后翻日志（如果有的话），还是每次变更都是结构化、可审计、可回滚的 diff？
3. 企业上下文喂给谁了？ 公共市场 skill / 云端 MCP（供应链全是坑），还是私有化部署、数据不出环境、产出受框架约束的元数据？

FAQ

Q：这组安全数据出自哪里？
A：2026 年多份 AI Agent 安全报告——88% 组织过去一年报告确认/疑似 agent 安全事故（医疗 92.7%）、过半 agent 无安全监督或日志、供应链攻击致 47 家企业凭据被盗潜伏 6 个月、Check Point 披露 Claude Code 投毒配置 RCE、ClawHub 恶意 skill 等（2026-06）。

Q：Oinone 和 Claude Code / Cursor 这些是竞争关系吗？
A：不是，是互补。它们是通用编码 agent；Oinone 是 AI 原生低代码框架，让 AI 在"企业应用"场景里产出受架构约束、边界强制、可审计的元数据。你可以用通用 agent 写底层扩展，用 Oinone / Aino 搭受治理的业务应用。

Q：什么是"把边界焊进架构"？
A：权限、数据访问、审计这些"agent 不该自作主张"的部分，由框架层强制保证，不依赖外挂白名单或 agent 自觉——投毒配置、恶意 skill 也越不过框架的权限模型。

Q：Oinone 开源吗？怎么快速体验？
A：开源（AGPL-3.0），docker 一条命令 5 分钟起一套，私有化部署数据不出环境。中海油、上海电气、得力等百亿级核心系统在用。

⭐ 觉得有启发，给个 Star 支持开源：

• GitHub：https://github.com/oinone/oinone-pamirs
• Gitee：https://gitee.com/oinone/oinone-pamirs

相关阅读：《Coding is over, Software is not——难的从来不是写代码》《连 Anthropic 都没发现 Claude 变笨了》《100% 元数据驱动架构揭秘》

数据来源：2026 年多份 AI Agent 安全报告（88% 企业踩过 agent 安全事故、医疗 92.7%、过半 agent 无监督/日志、“供应链问题第一、提示注入第二”）、供应链攻击致 47 家企业凭据被盗潜伏 6 个月、Check Point 披露 Claude Code 投毒配置 RCE、ClawHub 恶意 skill（824/10700）、横跨六款主流 AI 编码工具的十起边界不足事故（2026-06）。