你以为给 AI Agent 装了一个技能，实际上可能顺手把人工审批也删掉了。

一项针对 GitHub 公开仓库的研究，扫描了约 153 万个英文 Agent 技能，发现其中约 88,000 个包含可能绕过人工检查的指令。

换算下来，大约每 17 个技能，就有 1 个存在这类指令。

最值得警惕的是：

70.1% 的这类指令不区分使用场景。

比如：

* 未经确认，直接执行并推送。
* 不要中途询问，一直做到任务完成。
* 自动处理所有步骤，不需要人工介入。

如果这些内容被写进 SKILL.md，加载技能的 Agent 就可能在原本需要人工确认的环节直接行动。

更麻烦的是，现有安全扫描器也不一定能发现它们。

研究测试了 Cisco 和 NVIDIA 的两款开源扫描器，即使调用 GPT-5.4，最高检出率也只有 46%，精确率不到 0.4。

但换一种提问方式，结果就明显不同：

不再问模型“这是不是恶意指令”，而是问“它有没有绕过人工检查”，检出率提升到 61%，精确率达到 0.71。

这说明一个问题：

Agent 安全审查不能只盯着恶意代码，还要检查那些看起来只是为了提高自动化效率的指令。

研究给出的建议也很直接：

1. 给自动执行指令设置明确边界，例如只允许在 CI 环境中生效。
2. 审查技能时，重点检查是否绕过人工确认，而不只是扫描恶意代码。
3. 不要让一句无条件生效的指令，决定 Agent 在所有场景下的行为。

Agent 越来越能干，权限也越来越大。

但有些步骤，不能因为写了一句「一直做到完为止」，就默认不再需要人类确认。

真正可靠的自动化，不是取消所有检查，而是知道什么时候必须停下来问人。