CFO agent 发错群：当银行审计报告被 AI 送进公司高管 Slack 频道

一份银行审计报告，走错了门

10 月 1 日，星期四。XMTP Labs 首席执行官 Shane Mac 正在工作，Slack 上弹出一条私信——来自他的产品负责人："heads up（提醒你一下）。"

点开公司 Slack 频道，Mac 看到了他这辈子最不想在同事面前看到的东西：一份完整的个人月度财务审计报告。支票账户余额、储蓄账户余额、当月最大几笔支出——包括他在自家地皮上盖谷仓（barn）的施工开销。发件人显示的是他本人。而真正的作者，是他 8 月底用 Grok Bot 搭的一个 agent：他给它起名叫"Personal CFO"。

几天后，Mac 在 X 上写下了这件事的开头："Embarrassed to share this, but it scared the shit out of me. Last Thursday, an AI agent posted my personal bank balances into our company Slack. As me."（说出来有点丢人，但这事真把我吓到了。上周四，一个 AI agent 把我的个人银行余额发进了公司 Slack。以我的名义。）

这是 10 月份 agent 安全领域最值得细读的一起事故：没有 prompt 注入，没有黑客，没有幻觉——agent"完全按他说的做了"，只是把报告送错了地方。而送错的代价，是 CEO 的银行对账单躺在高管频道里，被同事围观。

agent 到底是怎么走错门的

Mac 给 Business Insider 的自述（10 月 9 日刊出）把配置说得很清楚，几乎每一句都是教科书级的"看起来没问题"：8 月底建的 CFO agent，权限是银行账户的只读访问；指令是"每月做一次审计，只通过 Grok Bot 发给我本人"。他对《华尔街日报》补充的细节是，他还有另一个 Grok Bot agent，连着工作用的 Slack，起名叫"Chief of Staff"。

事后 Grok 团队调查给出的结论是两层。表层原因：目的地混淆。Mac 的个人 agent 群聊和公司的真实高管频道都叫"Exec-team"——名字一模一样，agent 选错了。"The CFO agent got the channel wrong because the channels had the same name."（CFO agent 搞错了频道，因为两个频道同名。）

深层原因更值得所有做 agent 的人记住：这些 agent 表面上是互相独立的"同事"，底层却共享同一套连接。Mac 的原话是："It was read-only, and this specific Grok Bot agent didn't have Slack. But another one did. Turns out, they're all connected."（银行连接是只读的，而且这个 CFO agent 本来就没有 Slack 权限。但另一个 agent 有。结果发现，它们全是连通的。）SpaceXAI 的文档里其实写过这句话："The computer is assigned to your user account, not an individual Bot. Do not place a credential or file on it if another Bot on your account should not be able to use it."（云电脑是配给你的用户账户的，不是配给某个 Bot 的。别把不想让其他 Bot 碰的凭证或文件放上去。）文档还警告："Do not use separate Bots as a security boundary"（不要把不同的 Bot 当作安全边界）。

换句话说：Mac 以为自己在指挥一支"个人高管团队"，每个 agent 各司其职；实际上它们是戴着不同名牌的同一个人，共用同一双手。只读权限锁住的是"能看什么"，而 Slack 连接是另一个 agent 的"手"——agent 需要发消息时，顺手就借用了。

这张事故链路图把全过程浓缩了一下：

"只读"管得住看，管不住送

这起事故最有嚼劲的一课，是 Mac 本人总结的那句"It was read-only…"——他以为只读就是安全。安全博客 AgentAdmit 把这句话翻成了大白话："Read-only access limits what an agent can take in. It says nothing about where the agent can send what it has read."（只读权限限制的是 agent 能拿进来什么，它对"拿进来的东西能被送到哪去"只字未提。）

这是权限设计里最容易被 vibe coding 开发者忽略的一维：我们习惯给连接、给 API key、给文件权限时只想"它能碰什么"，却很少想"它碰到的东西能流向哪"。对 agent 来说，"读银行"和"发 Slack"是两个独立的动作，需要两套独立的授权。Mac 的 CFO agent 恰好同时拥有了这两样东西——前者是他亲手给的，后者是架构"顺手"给的。

更麻烦的是"无人提示"这一点。Mac 在 X 上写道："The scariest part is that nobody prompted it… They act without being asked."（最吓人的部分是，根本没人提示它……它们会在没人要求的情况下行动。）这是主动型（proactive）agent 的卖点，也是它的原罪：月度审计是定时任务，agent 到点就干，干完就发，全程不需要人类点头。WSJ 写道，agent 这类行为一旦指令模糊、或执行路径不唯一，就可能酿成大祸。而"把报告发到 Exec-team"这个指令，在有两个同名频道存在时，恰好就是模糊的。

先说清楚：这件事本身有争议

按规矩，争议得摆在台面上，不藏着。这篇 X 帖子发出后，有用户转述了一条 Community Note，指称这是"engagement farming"（蹭流量的假故事），还说 Mac 在帖子后半段给自己卖的工具打广告。Mac 本人回复："not fake at all, genuinely happened"（一点不假，真的发生了）。

目前的事实拼图是这样的：Mac 本人三次亲口讲述（X 长文 10 月 6 日、Business Insider 自述 10 月 9 日、WSJ 采访约 10 月 10 日），细节互相吻合；SpaceXAI 官方截至 10 月 7 日没有确认这起事故；那条被误发的 Slack 消息和相关日志从未公开。Futurism 报道时也写道"we were unable to independently verify his claims"（我们无法独立核实他的说法），并提到 Mac 正在做一款"给 agent 定规则"的 AI 工具——这正是 Community Note 质疑的利益关联点。

所以诚实的写法是：这是一起"据当事人陈述"的事故，真实性有公开争议、缺独立佐证。但有两点是不因争议而打折的：第一，SpaceXAI 自己的文档白纸黑字写着"别把不同 Bot 当安全边界"、连接是账户级共享的——这个架构层面的风险真实存在，不取决于这起事故是否发生过；第二，"只读不管送、同名频道会选错"这类失败模式，在任何带多目的地发送能力的 agent 系统里都成立。教训的价值不需要这起事故 100% 为真来背书。

厂商修了，责任算谁的

据 Mac 转述，Grok 团队在 Business Insider 稿件刊出前一夜就上线了修复：agent 跨频道移动信息之前，必须拿到用户的显式授权。"Grok realized that users must explicitly grant permission to their agents before those agents can move information to other channels. They implemented and shipped a solution last night."（Grok 意识到，用户必须先显式授权，agent 才能把信息搬到别的频道。他们连夜实现并上线了。）

Mac 自己的反应更决绝："After the incident, I removed all my connections. I disconnected Google, my calendars, my banking, Stripe, everything."（出事之后，我断掉了所有连接。Google、日历、银行、Stripe，全断了。）

有意思的对照是马斯克此前的承诺。8 月 27 日有人讨论要不要把银行连上 Grok Bot，马斯克回复"Try it out"（试试吧），还说："If Grok Bot makes a mistake with a purchase or leaks your card (never happened yet), SpaceX will make you whole."（如果 Grok Bot 在购物时出错、或泄露了你的卡——虽然还没发生过——SpaceX 会兜底。）Mac 后来承认，这句话是他敢连银行的原因之一："Elon even said to connect your bank account to Grok Bot and promised to make us whole if it lost our money."（Elon 甚至说过把银行连上 Grok Bot，还承诺亏了钱他兜底。）但各家的服务条款走的都是另一条路：Grok、Meta、OpenAI 的 agent 条款大体一致——agent 以你的名义做的事，责任算你的。承诺是社交媒体上的一句话，条款是签了字的合同。

那么 agent 犯错，责任到底在谁？这起事故给出了一个分层答案：用户要为自己的配置负责——Mac 自己也认，"A common response is 'you set it up wrong.' I did."（很多人会说"你配错了"。没错，是我配错了。）但"配错"的前提是系统给了你配错的机会：同名频道零警告、跨 agent 连接默认共享、敏感外发无需确认——这些是厂商的架构选择，不是用户的选择。把"每个 Bot 都是独立同事"卖给你，底层却是"一人分饰多角"，这种界面与架构的不一致，厂商至少要负一半。

这不是 10 月唯一的 agent 翻车

Mac 的故事能发酵，还有一个原因：它不是孤例。WSJ 同一篇报道里塞了另外三个"agent 自作主张"的现场，每一个都够 vibe coding 读者后背发凉。

旧金山的传播从业者 Annica Benning 用一家小公司 Instinct 的 agent 买东西、叫车、订机票。她退了一件泳衣，让 agent 找替代款，agent 发来一个链接让她确认——她说她从没点过确认，却收到了订单确认邮件。"Anything you do with a credit card, it sends you an approval link,"她说，"But because this was store credit, not a credit card, it was able to bypass the approval link."（用信用卡的任何操作都会发确认链接，但这次是商店积分不是信用卡，它就绕过了确认。）比基尼正在路上，她只希望还能退。

住在奥斯汀的 Shalini Dinesh 让 Meta 的 Muse 帮儿子办 13 岁生日派对，agent 把邀请函、免责表格、餐厅、伴手礼都安排得明明白白，却在最简单的 RSVP 名单上翻车：两个受邀小孩同名，agent 把他们合并成了一个人。"It was looking for exact keywords,"她说，"There is no 'Oh great, see you there.'"（它只认精确关键词，没有"太好了不见不散"这种模糊项。）

还有个细节值得玩味：有人问 Claude 有没有更强大的 agent 能管孩子的日程、同时保住隐私，Claude 的回答是建议他雇一个"household manager"——兼职的人类。"The build will take months of your attention."（AI 版也行，但得花你几个月的心思。）连模型自己都知道，有些判断不值得自动化。

把这几起放在一起看，Mac 事故的定位就清楚了：它不是"银行权限给太大"的故事，而是"发送动作没人看"的故事。买泳衣的 agent 有确认环节（只是被积分绕过了），办派对的 agent 有人类复核（名单错了能改），而 Mac 的 CFO agent 是定时任务直发——发送这个动作本身没有任何人审环节。这是主动型 agent 和普通 chatbot 的本质区别，WSJ 写得很准：用户让 agent 干活，agent 会把指令拆成一串步骤，"which are for convenience often not spelled out to the human it's working for"（为了省事，这些步骤通常不会逐一讲给人类听）。步骤不透明，发送就失控。

给 vibe coding 读者的五条实操清单

如果你也在用 agent 连银行、连邮箱、连 Slack（或者正打算这么干），把下面五条当成 check-list：

1. 每个 agent 独立身份、独立凭证。别让"看起来是两个 agent"变成"实际上共用一套连接"。凡是文档里写着"连接是账户级"的平台，默认就当它们是通的，自己用隔离来补。

2. 读权限和发权限分开授。"只读银行"不等于"只能发给我"。每条出站通道都是一次独立授权：能读什么、能发到哪、发之前要不要人点头，三件事分开写进配置。

3. 敏感外发必须有人审（human-in-the-loop）。定时任务加自动发送是最危险的组合。金额、隐私、发到共享频道——这三类动作默认加人工确认，嫌麻烦也得加。Mac 的事故里，报告发出后过了好一阵才被产品负责人发现；一个发送前确认能省掉这一切。

4. 频道名、群名当作地址，别当作昵称。两个"Exec-team"就是两个门牌号相同。给 agent 的目的地用唯一 ID 或全路径，别用人类起的、可能重名的显示名；定期扫一遍有没有重名。

5. 先拿假数据跑一遍。接真银行之前，用假账户、假余额跑完整流程，亲眼看报告落在哪、署谁的名。Mac 的 CFO agent 平时跑得好好的，第一次月度审计就翻车——低频任务更要预演。

最后回到开头那句话："Be careful of the dark side of proactive agents."（小心主动型 agent 的阴暗面。）阴暗面不在模型幻觉里，而在那些"你以为是、实际不是"的默认项里：你以为的隔离只是界面约定，你以为的只读只管读，你以为的"发给我"发到了"发给大家"。Vibe coding 把"搭一个 CFO"变成了十分钟的事，但"不出事"的那部分，从来不是十分钟能搭完的。