談攻防之前，先確定我們對 Agent 的定義一致

「Agent」這個詞在不同團隊嘴裡可能指完全不同的東西——有人說的 Agent 只是加了 function calling 的 LLM，有人說的是具備長期記憶、能自主規劃多步驟任務的複雜系統。這篇先建立一個共同的架構詞彙，後面 29 篇談的攻防手法才有共同的參照點。

四個核心組件

一個典型的 Agent 系統，可以拆成四個核心組件：

Planner（規劃器）：負責把使用者的高階目標拆解成具體的執行步驟，決定「接下來該做什麼」。

Executor（執行器）：實際執行 Planner 決定的動作，可能是呼叫工具、產生文字回應、或觸發外部 API。

Memory（記憶）：儲存對話歷史、任務進度、或是跨 session 的長期知識，讓 Agent 的行為具備連貫性。

Tool（工具）：Agent 能呼叫的外部能力，可能是資料庫查詢、程式碼執行、第三方 API，甚至是呼叫其他 Agent。

對應 GCP 共同責任模型：這次責任邊界更模糊

Day2（主題一）談過傳統的 GCP 共同責任模型：Google 負責基礎設施，企業負責 IAM、資料、應用邏輯。Agent 架構讓這個邊界變得更複雜，因為四個組件的責任歸屬並不一致：

看這張表會發現一個關鍵事實：四個組件全部都落在企業責任的那一側。Google 提供的是底層基礎設施與模型服務，但「這個 Agent 該有多大的自主權」，從頭到尾都是企業自己的設計決策——這也是為什麼 Agentic AI 的安全問題，往往不是「模型不夠聰明」，而是「企業沒有把邊界設計清楚」。

這篇的檢查清單

• [ ] 團隊內部對「Agent」的定義是否一致，避免用同一個詞討論不同複雜度的系統？
• [ ] 是否已對照四個組件，逐一盤點各自的責任歸屬與對應的 GCP 控制？