先讲一个场景。某团队的运维 Agent 跑了一场两小时的长会话：前半程巡检、备份、看监控，一切正常。会话过半，上下文逼近 token 预算，框架自动触发压缩——历史对话被摘要，旧的工具输出被剔除。后半程用户提了一个清理需求，Agent 直接在 production 主机上执行了删除命令。

事后复盘，日志里翻不到任何越狱 payload、任何提示注入的痕迹。因为根本没有攻击者。**