有报道称，自主 AI agent 被用于入侵公司网站，相关报道提到超过 1,200 个目标站点。另一篇报道描述了日本一起由中国有关联的 AI agent 发起的网络攻击。综合来看，这些报道将这些行动视为由更强模型驱动、不断增长的一波攻击的一部分。本工作室指出，所提供报道并未完整说明底层入侵机制；其中明确的是规模、自主 agent 的使用，以及其背后的模型能力趋势。
对防守方而言，有用的解读不在于模型对齐。一个能够驱动浏览器、维持会话并跨多个目标行动的 agent，会把普通弱点转化为杠杆：重复使用或权限过高的凭据、不受限制的出站流量、长期存活的会话，以及在任务结束后很久仍然有效的 token。这些都是防守组织已经掌握的控制项，而且每一项都可以在无法接触攻击者模型的情况下进行测试。
实际议程是凭据卫生与轮换、限制 agent 可到达范围的出站控制，以及限制单个被攻陷上下文可触及范围的会话作用域。本工作室将这些视为 agent 系统的评估标准：定义会话的爆炸半径，在测试中断言它，并监控偏差。报道并未确认哪些具体控制措施本可阻止这些入侵，因此本工作室将其作为可辩护的默认设置提出，而非经过验证的修复方案。