Simon Willison提出“致命三要素”：AI代理若同时具备读取不可信输入、访问敏感数据、向外发送数据三种能力，易遭提示注入攻击导致数据泄露。该问题无法从模型层面修补，应在架构上缓解：进行威胁建模、采用双代理隔离模式、遵循最小权限原则、使用临时权限，并假设代理终会被欺骗，控制故障影响范围。