回覆：readeva.com/articles/indieweb-with-emdash

IndieWeb with EmDash — ReadEva

極受注目的 Astro 被併入 Cloudflare 後，EmDash 橫空出世，不久前才正式 1.0 版。說實話要挑戰 WordPress 還早，但確實有趣。只是測試，隨便貼貼⋯⋯致命三重奏（lethal trifecta）#「lethal trifecta」是 Simon Willison 提出的架構，描述一個 agent 系統會把自己暴露給攻擊者的三個特性：能存取私密資料（private data）——你的郵件、檔案、日曆、程式碼。會接觸不可信的內容（untrusted content）——電子郵件、網頁搜尋結果、issue、pull request。這些東西到處都是，幾乎躲不掉。能對外通訊（external communication）——把訊息送出去、呼叫外部服務、把資料上傳到某個地方。單獨看，任何一項都不致命；問題在於 agent 有用，靠的正是讓這三件事同時發生。一個 agent 要幫你整理信箱、看 issue、回訊息，就必然一邊讀不可信的內容、一邊碰到你的資料、一邊有對外送訊息的通道。而 LLM 本質上無法完全忽略藏在不可信輸入裡的惡意指令——攻擊者只要在網頁或郵件裡埋一句話，就有機會誘導 agent 把私密資料傳出去。這正是「三重奏」之所以致命的原因。常見的三種做法，各有各的坑#碰到這個風險，團隊通常有三種反應，Tailscale 部落格形容得很貼切：完全不防（YOLO）：讓 agent 放飛自我，代價是資料被刪、個人資料外洩、多出新漏洞。鎖到不能用：限制多到 agent 拿不到任何有用資訊，最後跟基本聊天沒兩樣。淹沒在權限確認裡：每個 tool call 都要按「允許」。一旦確認疲勞上身，就會一路按「是、是、是」，結果和完全不防差不多。這三種的共同問題，是把防護寄託在「模型夠乖」或「人夠警覺」上。模型行為是非確定性的，再多的 prompt 防線也擋不住每一次越權；人也會疲勞。Tailscale 的思路是：與其盯著模型，不如從網路層把 agent 能碰到什麼直接限住。