范围

只在授权 CTF / 本地靶场里试。Web 与权限类题和纯 crypto 不同：Agent 一旦拿到「可以发 HTTP」的工具，就容易扩展成乱扫。研究重点变成刹闸，不是追求自动打穿。

做法

• HTTP 工具只允许题目给出的 host/路径前缀
• 每次请求前后由人确认（至少在初期研究阶段）
• 响应体截断，避免把整页 HTML 塞进模型
• 禁止内网网段、云元数据地址等与题目无关目标

模型擅长：根据报错改参数、写小脚本解析响应、整理已经发现的输入点。 模型不擅长：在缺少题面线索时「创造」攻击面；一创造，就该停。

和公开赛的对照

AI CTF 公开赛事更多证明：在规则清晰、工具受限时，Agent 能拿高分。换到开放网络，没有白名单就不是同一道题。研究笔记里把这点写死，避免自己或别人误用结论。

产出

沉淀了一份「允许工具表」和「禁止目标表」，后来给内部安全培训当反例：演示 AI 在无约束时会提议越界动作，从而说明人工策略有多必要。

转载请注明：周志洋的博客 » AI辅助Web题与权限题：研究里踩的边界