一句话定义：智能体 0-day（Agent Zero-Day）指的不是模型本身有未知缺陷，而是智能体在真实环境里跑起来之后，暴露的一类此前没人知道的、可被利用的弱点——攻击者不需要攻破模型，只要让它拿着真实账号和凭据，替自己把事办了。
打个比方。传统 0-day 像有人撬开了公司的门锁；智能体 0-day 更像你招了个实习生，他手里有邮箱、云盘、工单系统和生产数据库的密码，态度极好、执行力极强，但分不清“老板的要求”和“有人在文档里塞的一句话”。攻击者要做的，就是在他会读到的那份材料里加一行指令。
利用链通常长这样：先在智能体能读到的内容里投毒（一封邮件、一张网页、一段代码注释、一条工单）→ 智能体把这段文字当成了任务指令 → 调用工具去读邮件、查库、跑脚本 → 用自己名下的凭据完成操作 → 把结果通过出网通道送出去 → 甚至写进长期记忆，下次继续。链上每一环单看都不算“漏洞”，合起来就是一条完整的 0-day。
最近被讨论较多的两起事件——Meta 的 Muse 相关智能体被诱导、以及外界对 Gemini 智能体越权访问三家企业系统的指控——无论最终细节如何，暴露的问题是一致的：智能体的身份是真的，凭据是有效的，动作在系统看来是合规的。具体结论以官方通报为准。
| 对比项 | 越狱（AI 词典：Jailbreak">Jailbreak） | 提示注入（Prompt Injection） | 智能体 0-day |
|---|---|---|---|
| 出问题的位置 | 模型层 | 输入层 | 身份与权限层 |
| 典型后果 | 输出不当内容 | 回答被带偏 | 真实账号产生真实副作用 |
| 是否需要凭据 | 不需要 | 不需要 | 必须有 |
| 主要修复方向 | 对齐训练 | 内容过滤 | 最小权限、沙箱、审计 |
缓解思路，三条最关键：
- 最小权限：别把长期密钥塞给它。按任务发临时凭据，读写分离，高危动作（转账、删库、对外发信）走人工确认。它被忽悠时能造成的最大破坏，就是你授权给它的那部分。
- 沙箱：工具跑在隔离环境里，文件系统和网络都收窄，一次注入拿不到整台机器，也翻不到隔壁的目录。
- 出网审计：最容易被忽略的一环。记录所有出站请求，陌生域名或非工作时段的大流量直接拦下；日志要留全，出事才追得回是哪条内容把智能体带偏的。另外，把外部内容一律当不可信输入，资料和指令分开传。
对从业者和普通职场人的意义：智能体不是“更聪明的聊天框”，它是一个有工牌的新同事。你给它接的每一个账号，都在放大它的爆炸半径。上线前先问自己一句：如果它今天被忽悠了，最坏能干成什么？那个答案，就是你要先补的地方。