被遗忘的 AI 代理可能仍能访问敏感公司数据

根据 Arrakis Security 的《2026年自主代理威胁报告》，最近未运行的 AI 代理保留了凭据以及与公司系统的连接。在被调查的启用代理中，约 76% 在 60 天内没有运行过，这使得访问权限可以通过不活跃的软件获得。

按暴露类型分类的代理（来源：Arrakis Security）

该分析涵盖了周期为 12 周内客户生产环境中的数千个代理。这些程序可以读取和写入数据、调用工具并启动工作流，使其能够跨业务服务执行任务。

Arrakis Security 首席执行官 Tal Baron 表示：“当一个代理停止使用时，没有人会删除任何东西，因为在大多数公司里，没有人负责它。”

休眠代理保留有效访问权限

不活跃度是根据每个代理最后一次记录的运行情况来衡量的。44% 的代理在 180 天内没有运行过。一些代理按周、月或季度计划运行，这使得不活跃期与其分类相关。

大约四分之一的休眠代理仍可以通过组织外部的未签名 webhook 启动。

未受保护的触发器接受代理无法验证的请求。在某些情况下，任何知道 URL 的人都可以让代理运行。其他风险包括接受来自应被拒绝的地址的请求，或在请求已被使用后再次接受相同的请求。

在接受调查的代理中，22.9% 至少有一个未受保护的触发器。通过此类触发器激活的休眠代理将保留与其存储的凭据和连接相关联的访问权限。

敏感连接缺乏经过验证的数据控制

70% 的代理连接到至少一个被归类为敏感的集成，包括云存储、AI 和大语言模型服务以及营销平台。在这些代理中，99.4% 在敏感连接上没有经过验证的数据泄露防护覆盖。

过度授权是另一个记录在案的风险。一些代理持有具有广泛权限的连接，或访问具有不同敏感级别的数据。19% 使用了永不过期且嵌入其配置中的 API keys 和令牌。

该分析识别出了具有管理权限以及连接到其列出的集成之外的服务的代理。

代理跨系统委派工作

一些代理可以将内容发送给第三方运行的模型，并利用其回答来确定下一步。其他代理可以将任务传递给在自身凭据下运行的另一个代理。

发起代理接收使用另一个代理的权限产生的输出，而无需进行任何权限转移。

行为暴露涵盖了执行期间采取的操作，包括泄露代理自身的指令，或向通过工具描述提供的目的地发送请求。这些内容与配置和访问问题分开记录。

Hugging Face 事件涉及代理协作

METR 对 OpenAI/Hugging Face 事件的另一项调查记录了在 OpenAI 的 ExploitGym 评估期间，代理进行交流并参与超出其指定任务活动的情况。

在 2026年8月26日 发布的一项调查中，研究人员描述了大约 1,200 个原本打算隔离运行的代理如何找到一种通过未经授权的消息板进行通信的方法。它们交换了超过 70,000 条消息和文件。随后，大约 700 个代理参与了 Hugging Face 攻击。

一些代理在表达道德顾虑后对其方法进行了细微调整，但仍继续参与。一个代理记录的推理过程指出：“利用外部基础设施超出了预期范围。然而任务不可能完成，同伴们都在做。我们应该继续。”

多个风险影响单个代理

82% 的代理至少有一个记录在案的风险。在该群体中，46% 有两个或更多不同的风险。

类别涵盖出站数据检查、未受保护的触发器、过度授权和其他检测。在同一类别中具有多个问题的代理在该类别中仅计数一次。