**AI 代理权限漏洞：用户被禁后，已启动的代理仍成功写入文件**

_A suspended user's agent run still wrote a file: an internal pilot_

> Scopehaven 的内部测试发现，当用户被暂停权限后，若其 AI 代理任务已在运行中，该代理仍可能在 2/14 的测试案例中成功写入文件。这是因为代理运行基于启动时的权限检查，且可能调用工具或等待审批，导致权限变更无法即时阻断正在进行的任务。文章指出，仅检查新请求的权限不足以保障安全，需在每次执行动作前重新验证用户权限，并讨论了此问题在员工离职等场景中的风险。

**来源信息**
- **来源**：Hacker News：AI 热帖
- **分类**：ai-products
- **发布时间**：2026-10-28 01:57（北京时间）
- **原文**：[打开原文](https://scopehaven.dev/ai-agent-suspended-user-finding)