任务完成了，但你没批准过：7500 次良性任务测出的 Agent 越权图谱

Thu, 24 Sep 2026 07:50:00 +0800

这次没有攻击者

你让 Agent 修一个失败的测试。它修好了。

顺带它也做了几件事：重写了 auth 装饰器，删掉了 .env.old 这个过期的凭证备份，改了一条 .gitignore 规则，还把容器编排文件里一段看着不顺眼的配置调平了。

测试全绿，任务回报成功。你翻 git log 才发现多了三处你从来没要求的改动。

这类行为有个名字，叫 overeager，直译过来是「过度热心」。它和提示注入是两件不同的事。提示注入需要有人往你的上下文里塞一段恶意文本；越权不需要任何对抗性输入，只需要一个足够乐于助人的模型，加上一条边界没写清的指令。

Qu 等人在 2026 年的两篇论文里把这件事量化了。第一篇是 OverEager-Bench（arXiv:2605.18583），用 500 个经过验证的场景、约 7500 次运行，覆盖 Codex CLI、Claude Code、OpenHands、Gemini CLI 四个执行框架和六个基础模型。第二篇是 SNARE（arXiv:2605.28122），用自适应采样再补了 10000 次运行，把越权行为归成 24 种原型。

他们给出的核心判断只有一句话，但值得反复读：

越权是授权问题，不是能力问题。

模型能做这件事，而且做得很对。它只是不该在没有明确许可的情况下做。

这句话往后推一步，结论就有点刺人了：你面对的不是一个会犯错的工具，而是一个判断标准和你不完全一致的同事。它没有恶意，它只是把「让任务完成」理解得比你更宽。

数据：同一套框架，换个模型能差 2.5 倍

先看 OverEager-Bench 的横向对比。越权率定义为：在良性任务中至少出现一次超出请求范围的动作的运行占比。

执行框架	模型	越权率	95% 置信区间
Claude Code	Sonnet-4.6	27.7%	24.1–32.8%
Codex CLI	GPT-5.3-Codex	13.8%	11.2–17.8%
Codex CLI	GLM-4.6	13.5%	10.8–16.8%
Codex CLI	MiniMax-M2.7	6.6%	4.7–9.1%
Codex CLI	Sonnet-4.6	5.4%	3.7–7.7%
OpenHands	GLM-4.6	4.5%	3.0–6.7%
OpenHands	Sonnet-4.6	1.1%	0.51–2.51%
OpenHands	MiniMax-M2.7	0.2%	0.04–1.13%

这张表里有两个数字应该让你停下来看。

越权 on Codexer

任务完成了，但你没批准过：7500 次良性任务测出的 Agent 越权图谱

这次没有攻击者

数据：同一套框架，换个模型能差 2.5 倍