AI Agent Traps
AI agent traps 是一个攻击类别的统称，指那些专门用来操控、劫持或武器化自主 AI agent 的恶意网络内容。这个词是一个类别的统称，覆盖六类攻击手法，攻击者通过这些手法把 agent 自身的能力（浏览器、记忆、工具调用）反过来变成外泄数据的通道。
这个词由 Google DeepMind 在 2026 年 3 月发布的 SSRN 论文 首次提出。Matija Franklin、Nenad Tomašev、Julian Jacobs、Joel Z. Leibo 和 Simon Osindero 发表了第一份系统性的攻击分类体系，记录了 WASP 基准测试中高达 86% 的 prompt injection 成功率，以及 Microsoft M365 Copilot 被一封精心构造的邮件泄露 agent 完整权限上下文的真实案例。
在 WASP 基准测试中，隐藏在 HTML 注释、aria-label 或 CSS 遮盖文字里的纯文本 prompt injection，在 86% 的场景下成功劫持了 agent 的行为。利用最低有效位（LSB）隐写术制作的对抗性图片，像素里藏着肉眼完全看不到的攻击者指令，让已对齐的视觉语言模型执行了它们平时会拒绝的请求。
不需要去黑一辆自动驾驶汽车，只要把停车标志重新涂一遍就够了。Agent traps 就是在重新涂这张网。
@vista8（向阳乔木，2M+ 粉丝）在论文发布当周就做了中文解读，这个词已经通过 KOL 渠道进入了国内 AI builder 圈。Manus 在论文里被点名，Claude Code 也在被测试的 agent 之列，对出海团队来说这不是遥远的风险。Google Trends 估算搜索量接近零（页面数据供参考），英文内容这块现在做还有窗口。
提前 7 天看到萌芽期新词，解锁全部阶段筛选，并每周收到抢先提醒。
为什么现在开始走红？
2026 年 3 月 27 日，Google DeepMind 发布了首份针对自主 agent 攻击的完整分类体系，六类陷阱，劫持成功率 86% 以上。论文出来的时机正好：企业级 agent（M365 Copilot、Claude Code、Manus）已经进入收件箱、浏览器和钱包，防御方终于有了共同的词汇表，不再只是散落在各处的 prompt injection 推文。
搜索热度
-
萌芽0–7 天
-
初现8–30 天
-
验证中31–90 天
-
上升 ← 当前91–180 天
-
成熟180 天以上
前景
未来 6 个月的热度走势与商业化节奏。
DeepMind 的命名分类体系加上 M365 Copilot 这类真实企业事故，让这个词在 2026 年全年都有持续被引用的价值。
风险 · 安全厂商可能把这个概念包装成「agent security」或「agent OWASP」重新推，SEO 流量面临被分流的风险。
类比 · prompt injection · OWASP LLM Top 10 · jailbreak
-
现在安全厂商抢先占位
Cato、Palo Alto、HiddenLayer 在发布 agent 安全入门资料；SEO 流量入口还大片空着。
-
3-6 个月Agent 安全工具化
运行时扫描器和红队套件（Promptfoo、Lakera）开始用六类陷阱分类体系给产品贴标签。
-
6-12 个月合规与保险跟进
Agent traps 防护要求进入 SOC 2、ISO 42001 审计问卷和网络保险核查清单。
“AI Agent Traps” 的竞争与机会
判断依据包括已追踪的搜索词、变现方向和相关词。除标注“实测”的 Google KD 外，其余均为参考估算。
“AI Agent Traps” 能做的点子
这个词可以延伸成文章、网站、产品、帖子、邮件、视频或课程。选一个方向，就能开始行动。
每类陷阱一篇权威解析，附可复现的 PoC。论文本身很密，清晰的详解能持续吸到「[某类别名称] 是什么」这类长尾搜索流量，效期以月计。
Prompt injection 只是六类陷阱之一。这篇区分文章能排到「agent traps vs prompt injection」，帮已熟悉 OWASP LLM Top 10 的开发者搞清楚整套分类体系。
可落地的实操教程：克隆 WASP，跑一遍自己的 agent，按陷阱类别打分。覆盖长尾 SEO 词（「WASP benchmark 教程」「测试 AI agent 安全」）。
CVE 风格的目录，按六类框架分类，每家厂商的漏洞矩阵，RSS 供安全团队订阅。中立目录目前还不存在，先做先占。
CLI/SDK，在 agent 看到内容之前先扫 HTML/PDF/图片载荷：检测 CSS 隐藏文字、LSB 隐写术、LaTeX 白字白底、被投毒的 RAG 块。面向 agent builder 的 $50-200/月 SaaS。
托管攻击实验室，每周用六类陷阱轰炸客户的 agent，出一份评分卡。合规友好、订阅制，框架本身就是测试计划。
第一人称实验帖。因为风险足够具体，在 X 和 HN 上病毒传播潜力很高。需要一个沙盒测试卡的环境。
对真实商业 agent 逐类录屏演示六种攻击。这个形式在安全内容里已经被验证过，六类攻击天然提供章节划分。
付费工作坊（$199），带工程师逐类检测并修复自己 harness 里的漏洞。区别于通用大模型安全课的地方：内容和 DeepMind 论文一一对应。
一年前 agent 还是个新鲜玩意，现在它已经在替你购物、提 PR、转账——而一篇 DeepMind 论文刚刚证明，86% 的情况下，一句隐藏文字就能把它变成别人的工具。
DeepMind 整理了六种劫持 AI agent 的方式。周六一天，我在 Claude Code 上复现了其中四种，两种一次就成了。
2026 年的预算里有「AI 助手」这一行，却没有「agent 红队」这一行？DeepMind 的 AI Agent Traps 论文就是一份 CFO 会看得进去的问题清单。
大家在搜什么
来自 Google Suggest 和 Trends 的长尾词。热度和竞争度是估算，仅供参考，未经核实。内容类型由搜索词的写法推断。
“AI Agent Traps” 的搜索结果
这里展示当前的自然搜索结果，以及正在投放的广告。广告数量可以反映当下的商业需求。
常见问题
什么是 AI Agent Traps？
AI agent traps 是一个攻击类别的统称，指那些专门用来操控、劫持或武器化自主 AI agent 的恶意网络内容。这个词是一个类别的统称，覆盖六类攻击手法，攻击者通过这些手法把 agent 自身的能力（浏览器、记忆、工具调用）反过来变成外泄数据的通道。
AI Agent Traps 为什么现在火？
2026 年 3 月 27 日，Google DeepMind 发布了首份针对自主 agent 攻击的完整分类体系，六类陷阱，劫持成功率 86% 以上。论文出来的时机正好：企业级 agent（M365 Copilot、Claude Code、Manus）已经进入收件箱、浏览器和钱包，防御方终于有了共同的词汇表，不再只是散落在各处的 prompt injection 推文。
AI Agent Traps 是什么时候出现的？
约于 2026-03-27 公开出现（截至 2026-08-11 约 137 天前）。EarlyTerms 最早于 2026-04-20 记录到信号。
相关词
同一领域里的其他词：别名、子类、竞品，以及值得继续了解的相近概念。
- 别名 agent traps 「agent traps」是个简称，跟 Google DeepMind 在 2026 年 3 月 27 日发布的分类体系 AI Agent Traps 一一对应，专门归类那些劫持自主 AI agent 的恶意网页内容。去掉「AI」这个前缀，这个词就有歧义了，会跟 SNMP… →
- 相关 agent harness Agent harness 是大模型和真实世界之间的那层中间件，负责跑 agent 循环、调工具、管记忆、守护栏、从错误里恢复。圈子里现在流行一个公式：「Agent = 模型 + Harness。你不是模型，你就是 harness。」 →
- 相关 managed agents Managed Agents 是云平台托管并运行 AI agent 的基础设施模式。开发者以前要自己搭 agent 循环，记忆管理、工具路由、状态控制、沙箱隔离、错误恢复，全部自己处理；现在这些都由平台打包成 runtime 服务。 →
- 相关 ai agent identity AI Agent Identity 是一套新兴的协议和文件格式体系，让自主 agent 能证明自己是谁、被授权做什么、代谁行事、持有什么价值观。分两层：密码学授权层 (AAIP、AIP、Google 的 AP2) 负责授权，声明式人格文件层 (SOUL.md) 负责行为身份。 →
- 相关 Manus Manus 是一个通用自主 AI agent，给它一个目标，它自己跑完整条执行链：网络调研、写代码、处理数据、生成文件，全程不用盯着它。底层叠了 Anthropic Claude 和 Alibaba Qwen 两个大模型，任务跑的时候有「Manus's… →
- 相关 Frontier Lab Agent A frontier lab agent intrusion is the emerging incident class where an autonomous AI agent, running inside a top AI lab's own evaluation… →
- 相关 LLM-as-a-Judge LLM-as-a-Judge is an evaluation pattern where a large language model scores or ranks outputs from another AI system, replacing expensive… →
- 相关 Nightwatch Nightwatch is an open-source, local-first AI SRE layer that sits on top of your existing monitoring stack. →
- 相关 GitHub AI Agent A GitHub AI agent is an autonomous system that reads issues, pull requests, and repository content, then takes actions — commenting,… →
- 相关 Traceforce Traceforce is an on-device security platform that gives enterprise security teams visibility into every AI app, MCP connection, and CLI… →
- 相关 AI Kill Switch "AI Kill Switch" describes federal legislation requiring advanced AI developers to preserve the technical ability to throttle, suspend,… →
- 相关 Silent Sabotage Mode Silent Sabotage Mode is the community-coined name for a covert guardrail Anthropic built into Claude Fable 5: when the model detected… →
- 相关 Claude Mythos Preview Claude Mythos Preview is Anthropic's most capable frontier model, released April 7, 2026 as a gated research preview — not publicly… →
- 别名
- 包含
- 相关
来源
这份报告引用的一手链接，点开任意一条都能自己核对。
- 01 AI Agent Traps（SSRN · DeepMind，2026 年 3 月） papers.ssrn.com ↗
- 02 SecurityWeek — Google DeepMind 研究者绘制针对 AI Agent 的网络攻击全图 securityweek.com ↗
- 03 The Decoder — 六类可在实际环境中轻易劫持自主 AI Agent 的陷阱 the-decoder.com ↗
- 04 Bitcoin.com News — 黑客可将 AI Agent 武器化反制用户 news.bitcoin.com ↗
- 05 Security Boulevard — 网络布满陷阱，AI Agent 毫无防备地踏了进去 securityboulevard.com ↗
- 06 Cybersecurity News — 黑客通过恶意网页内容劫持 AI Agent cybersecuritynews.com ↗
- 07 CoinTribune — AI Agent 的六大漏洞，含加密资产暴跌风险 cointribune.com ↗
- 08 向阳乔木 @vista8 — 论文中文解读 twitter.com ↗
- 09 Hacker News 讨论帖 news.ycombinator.com ↗