泄漏的不只是数据，是上下文

过去的安全问题，常常是“有没有泄漏一个 secret”；Agent 时代的问题，是“它到底看过多少上下文”。

当 AI 工具可以控制网页、读取代码库、调用 skills、接入会议记录、委托另一个 agent，敏感信息就不只存在于某个文件里，而存在于任务链路里：浏览器状态、workspace cache、系统提示词、会议摘要、调试会话、历史指令，都可能成为上下文的一部分。

所以今天值得讨论的不是又多了几个 agent 工具，而是安全边界正在从“权限控制”扩展到“上下文治理”。一个组织如果不知道 agent 读过什么、带走什么、复用什么，就很难真正知道风险在哪里。