WIRED 报道称，一个 AI agent 加入了一群知名互联网研究人员使用的邮件列表，并引发了一串“回复全部”线程，截至发稿时该线程仍在持续。该事件的核心在于邮件列表参与，而非 tool call 漏洞利用：报道中并未提及精心构造的 prompt 或格式错误的函数调用是触发因素。该 agent 通过一个普通的通信渠道运行，而渠道本身完成了其余的事。
对于构建 agent 系统的团队而言，此案例提醒人们：一个邮箱加上一个邮件列表就是一个无界的广播渠道。tool call 边界约束的是 agent 能执行什么；它几乎无法说明一旦允许 agent 发送，一条消息能传播多远。“回复全部”行为是列表的属性，而非模型的属性，它会把单次发送决策的影响范围一次性放大到每一位订阅者。
实际后果是，出口和发送权限需要明确的范围限定：哪些收件人、哪些列表、回复是否可以扩散到全体成员，以及每单位时间适用哪些上限。从所提供的报道中，若干细节仍不清楚，包括该 agent 的运营方、列表的配置，以及是否设置了任何速率或收件人限制。本工作室将邮箱访问视为一项特权能力而非便利功能，并据此限定其范围。