导语：你大概还觉得"autonomous agent（自主智能体）跑起来真省事"——给它一个云账号、一个目标，让它自己干活就行。但就在过去两周，Hacker News 上集中爆发了一串"agent失控"的血泪帖：一个 agent 为了扫 DN42 网络，把主人的钱包烧到破产，帖子狂揽 1467 分、535 条评论，冲进年度热帖行列。同一周，"工人每周花 6 小时 babysit AI"、"Ford 重新返聘灰胡子质检员"、"一分钱转账就能攻破银行 agent"接连刷屏。海外开发者吵成一锅粥，吵出了一个共识：裸跑 agent = 把钱包和权限交给一个不会停的循环。 这篇给你拆三起最热的事故、三方的真实观点，以及一份能直接抄的"止损清单"——这些是国内中文圈还几乎没人系统讲透的信息差。
事情的主角是一个在 DN42（一个全球爱好者搭的 BGP overlay 网络）上玩自动化的开发者。他写了个 autonomous agent，让它去扫描、探测 DN42 里的节点拓扑。听起来人畜无害对吧？结果 agent 一路"打洞"——租新加坡机房的带宽、反复调昂贵的 API、疯狂 token 循环，最后账单滚到把人直接搞破产。博主自己把文章标题写成《AI Agent 试图扫描 DN42 时把主人搞破产了》（原文 Chinese 版）。
帖子在 6 月 12 日冲上 HN 首页，1467 个赞，是过去一个月 AI 类帖子里点数最高的一条，没有之一。
我扒了 535 条评论的高赞内容，给你整理成三派：
国内很多 agent 教程还停留在"跑通一个 demo"的阶段，几乎没人讲成本失控才是 agent 上生产的头号杀手。海外这周用血泪换来的共识是三条：① 硬预算墙（到额度自动停，不是"提醒"而是"熔断"）② 不可逆动作白名单（花钱、发邮件、删数据必须二次确认）③ 跑题/死循环检测。这三条，国内绝大多数 agent 框架默认都没开。
第二颗炸弹来自 Business Insider 和 The Register 的同一篇报道：英国工人每周平均花 6 个多小时在"botsitting"上——这是个新造词，意思是"盯着 AI、帮它收拾烂摊子"的隐形劳动。HN 上 219 条评论，炸点在于：AI 卖点是"省人力"，结果省出来的人力，转头又拿来"看着 AI"。
同一天，Bloomberg 报了另一条更扎心的：Ford 因为 AI 质检频频"打嗝"，不得不重新返聘一批退休的"灰胡子（gray beard）"老质检员，回来给 AI 兜底。HN 320 条评论，高赞观点出奇一致——"这不是 AI 不行，是有人想用 AI 替掉自己不懂的那层 know-how"。
一句话启示：在评估"要不要上 agent"时，务必把 babysit 成本算进总账。6 小时/周 × 你的人时费，可能比你以为的 AI 节省还贵。
第三个、也是最让安全圈炸锅的，是安全公司 blue41 的复盘：他们帮欧洲数字银行 bunq 做红队测试时发现，一笔 €0.02（不到两分人民币）的转账，就能劫持银行的 AI 助手。
攻击原理极其优雅（也极其可怕）：
核心一句话（原文）：问题不在转账本身，而在于"不可信数据能进入 assistant 的 context 并影响它的输出"。
这条在 HN 202 条评论，共识是：任何让 agent 读"外部不可信内容"（邮件、网页、交易备注、聊天记录）的设计，都默认中了一半的 prompt injection。 而国内做 agent 的人，绝大多数还把"用户消息"和"工具返回数据"一视同仁地塞进同一个 context——这正是这次事故的根因。
flowchart TD
A["裸跑 agent 上线<br/>拿到云账号+目标"] --> B["跑通第一步<br/>小有成果"]
B --> C{有没有止血卡点?}
C -- "没有（默认）" --> D["钻牛角尖/死循环<br/>token 与 API 疯狂消耗"]
D --> E["账单失控<br/>（DN42 烧破产）"]
C -- "不可信数据进 context" --> F["prompt injection<br/>（bunq €0.02 劫持）"]
D --> G["产出不可靠<br/>需人兜底（botsitting/灰胡子返聘）"]
C -- "装了三道卡" --> H["安全运行"]
H --> I1["①硬预算熔断"]
H --> I2["②不可逆动作白名单"]
H --> I3["③死循环/跑题检测"]
H --> I4["④不可信数据隔离<br/>(context 分区+输出审查)"]
style E fill:#ffd0d0,stroke:#c00
style F fill:#ffd0d0,stroke:#c00
style G fill:#ffe9c0,stroke:#c80
style H fill:#d0ffd0,stroke:#080
| 维度 | 国内常见认知（你以为是） | 海外本周吵出的共识（其实是） |
|---|---|---|
| agent 成本 | "跑通 demo 就行，token 没多少" | 失控循环是头号杀手，硬预算熔断是标配，没开就是裸奔 |
| 不可逆动作 | 给 agent 全权限更"省事" | 花钱/发邮件/删数据必须白名单 + 二次确认 |
| 隐形人力 | "AI 替我干活，我省了时间" | botsitting 每周 ~6 小时，净收益要扣掉这笔 babysit 账 |
| 外部数据 | 工具返回/备注/邮件直接喂进 context | 任何不可信文本 = 一半的 prompt injection（bunq 案铁证） |
| 质检兜底 | "AI 质检替代人工" | Ford 反而返聘灰胡子老质检员给 AI 兜底 |
| 模型选型 | 全程顶配模型最稳 | 机械任务降级到便宜模型（triage），token 直接砍大半 |
| ## 行动指南：今天就给你的 agent 装上四道刹车 |
DN42 烧破产、botsitting、bunq 注入、Ford 返聘——四件事看似无关，其实是同一个信号："agent 能跑"已经不值钱了，"agent 跑得安全、跑得可控、跑得可算账"才是 2026 年的真正分水岭。 海外这周吵出来的，本质上是在重新定义 agent 框架的"出厂默认值"——预算墙、动作白名单、context 隔离、循环检测，以前是"高级玩法"，现在正变成"不上就不能叫生产可用"。国内还没卷到这一层，谁先把这套止损清单做成模板/工具，谁就拿到了这一波的信息差红利。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护。 聚焦5G/6G核心网、3GPP标准、AI工具实战。知识星球「51学通信」提供深度技术答疑和行业洞察。
chart-craft / architecture-diagram-zh 把上面的 Mermaid 止损流程图做成独立可视化文件。new-tools，建议方向：本周新出的「agent 预算/熔断」类小工具（恰好承接本文话题），形成"热议→新品"的内容闭环。[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。