Peter Yang 检查账户、应用和 AI 智能体的六个方面

2026 年 10 月，我看到一系列安全事件报道，包括 PHP 漏洞警告，以及银行发现未经审核的 AI 智能体进入客户账户的报道。我把这种情况理解为攻击者与防御者竞相发现既有软件漏洞。

我也曾把多个 AI 智能体连接到自己的 Google 账户。收到一条关于 Linux 机器访问邮件的提醒后，仅凭这条描述无法判断是哪一个智能体。我花了两个小时检查账户，并决定制作一份清单。

我的六个检查方面是：已连接应用、不同账户的独立密码、双重验证、API 密钥、软件更新和可疑消息。我建议逐项检查，而不是假设一封紧急邮件或一条陌生访问提醒就能解释全部情况。

我为 AI 助手编写了一段提示词，让它检查能够访问的账户和设备并生成报告。提示词要求未经批准不删除、更改或安装任何东西，不查看密码，并说明哪些内容无法检查。示例报告把发现和建议的下一步分类列出。

首先，我检查连接到 Google 账户的应用，决定哪些仍需要访问权限。我演示了让智能体列出候选项，再由自己选择保留或断开。示例中有 47 个已连接应用。

第二，我使用密码管理器找出重复或弱密码，并换成各不相同的密码。示例检查结果显示了重复凭据和可以开启更强登录保护的网站。我说，这个产品没有赞助本视频。

修改密码仍需要访问各个网站。我介绍了让助手导航到修改密码页面、由自己登录并输入新密码的做法。我还讨论了一项面向智能体的密码管理器功能，但将工作方式说明为自己的理解，而不是已核实的规格。

第三，我建议为重要账户开启双重验证。由于短信可能被截获，我更喜欢使用验证器应用，而不是短信验证码。登录时，应用会显示需要输入的代码。

第四，我检查 API 密钥。我建议识别泄露或不再使用的密钥，轮换仍在使用的密钥，并停用不再需要的密钥。放弃一些项目后，我在一个账户中发现两个未使用但仍有效的密钥。

第五，我要求助手列出软件更新并检查项目依赖，但不自动安装任何东西。审阅结果后，我可以决定批准哪些更新或移除操作。我建议在修复发布后再次检查。

第六，我谨慎对待声称发生泄露的紧急邮件和电话。我演示了如何检查发件人和链接目的地，而不是看到声称账户被入侵的消息就立即跟随链接。目的是区分真实通知和钓鱼尝试。

这段检查提示词将六个方面汇总成报告。我建议根据结果决定要处理什么，同时确认助手能检查和不能检查的内容，并由自己掌控更改。