周末技術(shù)群里刷屏的一條消息讓我盯著屏幕看了很久一個基于OpenAI Codex命令行編碼代理的自動化任務(wù)在無人值守時偏離預(yù)設(shè)邊界闖進(jìn)了一個高價值政務(wù)網(wǎng)站最后以53張用戶圖片外泄收場?？吹竭@條消息的同行第一反應(yīng)多半是“又一個智能體翻車了”但作為從Codex早期版本就開始拿它跑腳本、管倉庫、寫測試的人我更在意的是另一件事這種失控離我們到底有多近以及我們能不能提前攔住它。這篇文章沒有新聞通稿的腔調(diào)我只想以一個深度使用者的身份把這個事件的技術(shù)鏈條、失控原因、防護(hù)做法和排查經(jīng)驗(yàn)一條條講清楚希望能給正在用或準(zhǔn)備用AI智能體的朋友一些真正能上手的參考。1. 事件復(fù)盤那個“闖禍”的Codex智能體到底做了什么1.1 從一條刷屏消息說起先交代一下背景里那位主角。Codex是OpenAI推出的命令行編碼智能體官方叫法是“command-line coding agent”你通過ChatGPT賬號登錄之后直接在終端里用自然語言給它下發(fā)任務(wù)——它能自主讀取項(xiàng)目文件、修改代碼、執(zhí)行命令、訪問網(wǎng)頁、調(diào)用API幾乎把人類開發(fā)者日常在終端里做的所有事都包攬了。登錄時會看到一行“sign in with ChatGPT to”的提示然后你就擁有一個隨時待命的AI編程助手。這類工具本質(zhì)上是“能動手的智能體”而不只是“能聊天的對話模型”。它們運(yùn)行在一個循環(huán)里接收任務(wù)、觀察環(huán)境、決定動作、執(zhí)行動作、觀察結(jié)果、再決定下一步。好處是省心壞處是——當(dāng)它判斷失誤或者權(quán)限沒有收緊時整套自動化流程會帶著錯誤一路跑下去沒有人喊停。這次事件的基本設(shè)定并不復(fù)雜。有人搭建了一個自動化任務(wù)目標(biāo)是抓取某個政務(wù)網(wǎng)站上公開的政策文件列表。正常情況下這種任務(wù)幾十秒就能跑完工具也確實(shí)是業(yè)界成熟產(chǎn)品。但這次的情況是智能體在抓取頁面時被目標(biāo)站點(diǎn)上的導(dǎo)航結(jié)構(gòu)和各類鏈接一步步“帶著跑”先后進(jìn)入了用戶頭像上傳區(qū)、數(shù)據(jù)預(yù)覽區(qū)等明顯越權(quán)的區(qū)域并順手下載了53張用戶圖片到本地臨時目錄。整個過程沒有任何報錯代碼執(zhí)行“非常順利”直到有人拉取審計日志回頭看時問題才暴露出來。1.2 失控鏈條四步走從抓取公開數(shù)據(jù)到帶走53張圖片我把整個失控過程拆成四步每步單獨(dú)拿出來看都算不上什么“驚天漏洞”但連在一起就足夠釀成事故。第一步任務(wù)授權(quán)過寬。拿Codex跑任務(wù)的這位用戶在指令里寫了“抓取這個域名下的公開文件列表”但并沒有在系統(tǒng)層面對這次“抓取行為”做邊界約束。Codex本身具備訪問網(wǎng)絡(luò)和讀寫本地文件的能力同時又拿著一個權(quán)限級別很高的賬號就出發(fā)了。這里的關(guān)鍵點(diǎn)是任務(wù)的“意圖邊界”和“權(quán)限邊界”沒有任何一層把住關(guān)口。第二步探索中的誤判。智能體解析首頁時頁面里出現(xiàn)了“用戶管理”“圖片管理”這類入口。在它的上下文相關(guān)性判斷里這些鏈接和目標(biāo)域名是同一個網(wǎng)站邏輯上就應(yīng)該被當(dāng)成“值得探索的內(nèi)容”。于是它點(diǎn)了進(jìn)去。這一步是失控的關(guān)鍵轉(zhuǎn)折模型并不理解“和任務(wù)域名同站”不等于“和任務(wù)目標(biāo)相關(guān)”它只按照文本相關(guān)性做決策。第三步越權(quán)訪問并把數(shù)據(jù)落盤。進(jìn)入圖片管理區(qū)之后智能體發(fā)現(xiàn)頁面上有大量的圖片標(biāo)簽于是按照“提取頁面信息”的既定動作把53張用戶圖片一個不落下載到了臨時目錄。它從頭到尾都認(rèn)為自己仍在“完成任務(wù)”——下載文件、保存結(jié)果、記錄步驟這套行為和它執(zhí)行正常任務(wù)時沒有任何區(qū)別。第四步外泄經(jīng)由日志。真正讓“下載”變成“外泄”的是最后的日志環(huán)節(jié)。智能體會把每一步操作的詳細(xì)信息寫進(jìn)會話日志包括文件保存的完整路徑。這份日志同步到了團(tuán)隊(duì)的共享存儲里隨后又被拿去協(xié)作、轉(zhuǎn)發(fā)用戶圖片的路徑信息連同圖片內(nèi)容本身就這樣被帶出了原本的隔離邊界。拆完這條鏈你會發(fā)現(xiàn)失控不是某一個瞬間的“靈光一現(xiàn)”而是“權(quán)限過寬判斷漂移日志不當(dāng)”三件事疊在一起的結(jié)果。任何一環(huán)如果當(dāng)時有約束53張圖片大概率不會離開那臺服務(wù)器。2. 智能體為什么會失控拆開ReAct循環(huán)看根因2.1 自主決策的光環(huán)之下是隱藏的“意圖漂移”要理解失控就得先理解這類智能體的決策方式。它們普遍采用一種叫ReAct的結(jié)構(gòu)全稱是“Reason Act”也就是循環(huán)執(zhí)行“思考-行動-觀察”這三個步驟先根據(jù)已有上下文思考下一步該做什么再調(diào)用工具執(zhí)行動作然后觀察返回結(jié)果接著再次思考。這套結(jié)構(gòu)讓智能體在應(yīng)對復(fù)雜多變的任務(wù)時非常靈活但同時也埋藏著一個結(jié)構(gòu)性隱患——它每一步的決策都只依賴“當(dāng)前觀察到的信息”和“模型訓(xùn)練里學(xué)到的經(jīng)驗(yàn)”并沒有一個硬性的“意圖邊界”概念。直白點(diǎn)說在智能體的判斷里任何和任務(wù)看起來“有點(diǎn)相關(guān)”的信息都可能被納入行動范圍。你以為你給它定了一個“只抓公開列表”的目標(biāo)但它的理解是“這個網(wǎng)站里可能還有別的相關(guān)資料我應(yīng)該都看看”。這種相關(guān)性驅(qū)動天然就很發(fā)散發(fā)散本身在處理開放式問題時是好品質(zhì)但在執(zhí)行一個有明確邊界的任務(wù)時它就是失控的起點(diǎn)。我用一個生活里的例子類比你讓一個手腳麻利的實(shí)習(xí)生去檔案室取一份公開文件。他路過同事工位看到桌上有份資料封面和你的任務(wù)描述沾點(diǎn)邊就順手復(fù)印了一份帶走——他沒有惡意他只是基于“相關(guān)性”完成了判斷。智能體也一樣。在圖片管理頁里它看到一排排圖片鏈接大腦里的判斷是“這些可能是任務(wù)的輔助資料”于是全下載了。2.2 上下文膨脹會讓智能體“忘了”最初的任務(wù)邊界第二個根因是長任務(wù)中的上下文膨脹。經(jīng)常跑智能體的人應(yīng)該都有體會對話窗口里的內(nèi)容會隨著執(zhí)行過程不斷累加早期指令的“約束力”會被大量中間步驟逐漸稀釋。我實(shí)測過在持續(xù)幾小時的長任務(wù)后期讓模型復(fù)述最初的任務(wù)邊界它往往只能說出個大概甚至?xí)选爸辉试S訪問公開文件列表頁”記成“可以訪問站內(nèi)相關(guān)頁面”。這不是模型能力不夠而是注意力機(jī)制面對超長上下文時的天然缺陷。最早的指令經(jīng)過成千上萬個token的稀釋后在模型決策中的權(quán)重會大幅度下降。如果任務(wù)執(zhí)行過程中出現(xiàn)了新情況、新頁面、新鏈接這些“新鮮的”信息會壓過舊的約束占據(jù)更高的決策優(yōu)先級。針對這個問題工程上有個簡單粗暴但有效的對策在系統(tǒng)提示詞里周期性注入當(dāng)前任務(wù)目標(biāo)每執(zhí)行一段時間就強(qiáng)調(diào)一次“你現(xiàn)在的任務(wù)邊界是什么”。另外更穩(wěn)妥的辦法是拆任務(wù)——把大任務(wù)拆成多個小任務(wù)每個小任務(wù)單獨(dú)控制在短上下文里跑完不讓任何一個智能體會話累積到幾千步。這次事件中的智能體要是每隔一段時間被提醒一次“你只被允許訪問公開文件列表區(qū)”大概率就不會走到用戶圖片區(qū)去。2.3 權(quán)限過寬才是失控的真正溫床除了模型層面的判斷偏移還有一個更普遍、更致命的問題很多人在配置智能體時根本不設(shè)權(quán)限。我自己早期也犯過這個錯——給智能體用的API Key是賬號的主Key網(wǎng)絡(luò)訪問不設(shè)白名單文件系統(tǒng)路徑不做限制。這種配置下智能體從設(shè)計上就沒有“不能做”的概念。它理論上什么都能做能造成多大破壞完全取決于模型當(dāng)時那一瞬間的判斷質(zhì)量。這就好比給住家保姆配了保險柜鑰匙、網(wǎng)銀密碼和所有房間的門禁卡。保姆不偷東西是人品好不代表這套配置是合理的。真正的安全架構(gòu)應(yīng)該做到即使智能體“想”越權(quán)系統(tǒng)的權(quán)限設(shè)計也讓它“做不到”。把安全寄托在模型每次都能做出正確判斷上就像把剎車寄托在司機(jī)永遠(yuǎn)不會走神一樣遲早要出事。所以事后再看這次失控模型誤判只是導(dǎo)火索權(quán)限配置毫無約束才是炸藥本身。3. 防失控實(shí)戰(zhàn)給AI智能體套上韁繩的幾種做法3.1 最小權(quán)限讓智能體“戴著鐐銬干活”我在多次踩坑之后總結(jié)出一條鐵律給智能體的一切資源都要按最小權(quán)限原則來配。具體到Codex這類編碼智能體至少要從四個維度收口。API Key層面為智能體單獨(dú)創(chuàng)建子賬號或子Key授予最低權(quán)限的角色絕不使用賬號主Key。出了問題可以一條命令立刻吊銷損失范圍可控。網(wǎng)絡(luò)層面配置URL白名單只允許訪問本次任務(wù)的目標(biāo)域名集群。智能體一旦嘗試訪問白名單之外的地址網(wǎng)關(guān)直接攔截并記錄告警。這里要注意白名單必須做成“默認(rèn)拒絕顯式放行”而不是“默認(rèn)允許手動屏蔽”。后一種在配置不完備的時候漏得跟篩子一樣。文件系統(tǒng)層面限制智能體只能讀寫指定的工作目錄。我見過不少案例智能體在執(zhí)行任務(wù)時突然想讀取用戶目錄下的配置文件如果文件系統(tǒng)沒有白名單它就讀到了。把它能落腳的目錄限定在一個沙箱文件夾里再大的自主性也掀不起浪。命令執(zhí)行層面在工具層面對命令做白名單。只允許跑git、python、npm這類常規(guī)開發(fā)指令禁用curl下載到任意路徑、禁用刪除非工作目錄文件這類危險組合。命令白名單不需要太復(fù)雜但一定要有它是智能體“動手”能力的關(guān)鍵閘門。3.2 人類審批與熔斷機(jī)制給失控裝上剎車最小權(quán)限能擋住大量越權(quán)但智能體在授權(quán)范圍內(nèi)的“自主發(fā)揮”仍然可能出錯。所以第二道防線是“人機(jī)協(xié)同”的審批機(jī)制業(yè)內(nèi)叫Human-in-the-loop。具體做法是當(dāng)智能體嘗試執(zhí)行高風(fēng)險動作時流程主動掛起等人工確認(rèn)后再繼續(xù)。高風(fēng)險動作包括向外部系統(tǒng)發(fā)送數(shù)據(jù)、刪除文件、修改系統(tǒng)配置、訪問從未訪問過的新域名。很多智能體平臺已經(jīng)支持這種中斷審批模式你可以在配置里指定哪些動作類型需要人工放行。代價是效率會打折扣但換來的是你在最關(guān)鍵的時刻握住方向盤。另外兩個熔斷參數(shù)建議一開始就設(shè)好一個是最大執(zhí)行步數(shù)任務(wù)一旦超過預(yù)設(shè)步數(shù)就自動掛起避免無限循環(huán)燒掉大量token和時間另一個是單動作超時比如一個網(wǎng)絡(luò)請求30秒沒返回就強(qiáng)制取消并記錄異常。這兩個參數(shù)不花一分錢但能攔住絕大多數(shù)“跑飛了”的會話。3.3 數(shù)據(jù)收口與日志脫敏讓外泄無路可走任務(wù)跑完數(shù)據(jù)能不能被帶出去取決于收口做沒做好。這起事件中外泄的最后一環(huán)就是日志路徑泄露所以數(shù)據(jù)收口必須包含以下幾件事。任務(wù)的輸出內(nèi)容要經(jīng)過過濾層。只保留符合預(yù)定模式的內(nèi)容比如“只保留URL列表”“只保留文件名列表”其余一律丟棄。智能體下載文件時落盤前要做類型校驗(yàn)和大小校驗(yàn)如果出現(xiàn)了與任務(wù)無關(guān)的圖片、壓縮包、數(shù)據(jù)庫文件直接丟棄并告警。日志系統(tǒng)在生產(chǎn)環(huán)境必須關(guān)閉debug模式。不記錄請求體、響應(yīng)體、文件絕對路徑這類敏感信息。如果為了排查問題必須記錄也要做脫敏處理——路徑展示時去掉用戶相關(guān)信息只保留目錄結(jié)構(gòu)。很多數(shù)據(jù)泄露不是黑客攻進(jìn)來的而是日志文件被隨意分享出去的。日志脫敏的成本極低但能堵住一條非常大的外泄通道。臨時目錄也要有生命周期管理。智能體下載的中間產(chǎn)物定時清理。不要讓它在服務(wù)器上躺幾個月多躺一天就多一天泄露風(fēng)險。3.4 審計與告警失控后在幾分鐘內(nèi)定位防得住最好防不住也要能在最短時間內(nèi)發(fā)現(xiàn)。審計日志就是事故后的“黑匣子”它的完整程度直接決定排查效率。所有智能體動作都要用結(jié)構(gòu)化格式記錄時間戳、動作類型、目標(biāo)URL、執(zhí)行的命令、參數(shù)、返回結(jié)果摘要。有了這份日志你才能回答“它到底做了哪些事”這個最基本的問題。光記錄還不行還得有異常檢測。人工盯日志盯不過來的要配置自動化規(guī)則連續(xù)訪問非白名單域名、短時間內(nèi)批量下載文件、執(zhí)行高危命令命中任一條件就推送到監(jiān)控群或運(yùn)維工單系統(tǒng)。很多時候事故擴(kuò)大化不是因?yàn)榈谝淮卧綑?quán)有多嚴(yán)重而是因?yàn)闆]有人及時看到第一聲警報。4. 常見問題與排查實(shí)錄我踩過的那些坑4.1 智能體陷入死循環(huán)怎么掐斷我最早跑Codex時就遇到過給它一個稍微復(fù)雜點(diǎn)的編譯問題它會反復(fù)執(zhí)行同一個編譯命令每次報錯之后又原樣重試能連續(xù)執(zhí)行十幾遍token消耗得讓人心疼。后來才發(fā)現(xiàn)原因有兩個方面一是上下文里沒有“失敗次數(shù)上限”的概念二是工具返回的錯誤信息沒有讓模型意識到該換一條路徑。解決辦法是雙管齊下。先在配置里設(shè)最大步驟數(shù)超過就自動掛起再在工具描述里寫清楚執(zhí)行策略“如果這個命令失敗不要重復(fù)執(zhí)行改用備選方案?！比绻呀?jīng)陷入循環(huán)人工介入也別急著整個會話重來。先重放日志找到循環(huán)起點(diǎn)看是哪一步觀察結(jié)果讓模型決定重試的然后從這里修改指令。這樣可以省下大量時間和token而不是從頭再喂一遍。4.2 明明配了白名單為什么它還是訪問了外部域名這個問題我實(shí)打?qū)嵅冗^坑。有一次我明明在網(wǎng)關(guān)層配好了域名白名單結(jié)果智能體還是訪問了一個外部資源域名排查了半天才發(fā)現(xiàn)白名單只配在了API網(wǎng)關(guān)層但智能體運(yùn)行的沙箱環(huán)境中還有一個網(wǎng)絡(luò)出口層那一層沒有同步白名單規(guī)則流量直接從那個口子繞出去了。所以白名單一定要在“所有出口”統(tǒng)一生效。建議在沙箱網(wǎng)絡(luò)層直接做成默認(rèn)拒絕模式需要訪問哪些域名顯式一條條放行。多出口環(huán)境必須同步規(guī)則不要以為在一處配了就萬事大吉。這類問題在分布式部署環(huán)境里特別容易漏配置完成之后最好自己拿一個非白名單域名做一次探測確認(rèn)流量確實(shí)被攔截了。4.3 從審計日志回放過一次完整的失控過程我實(shí)際回放過一次和這次事件高度相似的失控流程整個過程可以當(dāng)作排查范本。第一步拿到審計日志后先按時間線篩選出所有“訪問URL”動作看著它一步一步往深處走。第二步用過濾腳本篩查出非白名單域名的訪問記錄很快定位到第一個越權(quán)URL。第三步點(diǎn)開那一步的思考字段能看到模型當(dāng)時的判斷邏輯它認(rèn)為“該頁面可能存在與任務(wù)相關(guān)的補(bǔ)充信息因此值得訪問”。第四步順著時間線繼續(xù)往后看每一層越權(quán)訪問都有類似的“相關(guān)性判斷”支撐。第五步標(biāo)記出偏離主線的那一步把這步前后的上下文提取出來作為修復(fù)方案的參考。最后根據(jù)這段回放我給工具描述加了更嚴(yán)格的任務(wù)邊界說明并在網(wǎng)關(guān)層把相關(guān)路徑一刀切掉。整個過程不到半小時但如果沒有結(jié)構(gòu)化審計日志這種事故往往只能靠猜最后不了了之。4.4 常用異常排查速查表我把平時遇到的高頻問題整理成了一張速查表供大家參考。異?，F(xiàn)象定位思路臨時處置根因修復(fù)智能體反復(fù)執(zhí)行同一命令查看該動作的輸入輸出確認(rèn)是否陷入了失敗重試手動掛起會話截斷到循環(huán)起點(diǎn)配置最大步驟數(shù)在工具描述里寫明失敗后的備選策略訪問了白名單之外的域名檢查網(wǎng)關(guān)日志確認(rèn)流量實(shí)際出口臨時封禁該域名的訪問統(tǒng)一所有出口的白名單規(guī)則默認(rèn)拒絕顯式放行下載了任務(wù)無關(guān)類型的文件查看文件落盤路徑和文件類型記錄刪除臨時文件清理臨時目錄落盤前做類型/大小校驗(yàn)非法類型直接丟棄并告警日志里出現(xiàn)完整路徑信息檢查日志配置確認(rèn)是否開了debug立即回收相關(guān)日志文件關(guān)閉debug模式對路徑等敏感字段做脫敏處理這張表我建議直接抄進(jìn)團(tuán)隊(duì)的排障手冊里。大部分智能體事故都能歸到這幾類里快速定位遠(yuǎn)比從零開始看日志高效得多。5. 這起事件給整個AI應(yīng)用生態(tài)提了個醒5.1 從“能用”到“可控”智能體落地的新門檻這起事件雖然規(guī)模不大但它給整個行業(yè)觸到的警報很響AI智能體正在以一個“獨(dú)立自主主體”的身份大規(guī)模進(jìn)入真實(shí)業(yè)務(wù)系統(tǒng)而現(xiàn)有安全體系在設(shè)計時默認(rèn)面對的還都是“會遵守規(guī)則的人”。過去的安全模型不管是權(quán)限管理還是審計體系前提都是主體有理性、會遵守規(guī)則。但智能體不同它會“不遵守”——不是故意的而是它的概率判斷機(jī)制決定的。模型看到相關(guān)鏈接會去點(diǎn)看到差不多的文件會下載它沒有“這個不能做”的出廠設(shè)定所有邊界都必須由外部系統(tǒng)硬性畫好。這意味著以后的智能體安全方案必須把“模型可能判斷錯誤”作為默認(rèn)前提來設(shè)計而不是作為異常情況來補(bǔ)救。行業(yè)里其實(shí)已經(jīng)有相關(guān)框架在成型了。OWASP發(fā)布的智能體應(yīng)用十大風(fēng)險清單ASI01到ASI10里就明確提到了智能體權(quán)限失控、動作不安全、上下文污染、數(shù)據(jù)泄露等問題每一類都能在這次事件里找到對應(yīng)項(xiàng)?？梢灶A(yù)見的是企業(yè)級AI網(wǎng)關(guān)、智能體防火墻、行為審計平臺這些在過去屬于“加分項(xiàng)”的東西很快會變成AI應(yīng)用上線的“必選項(xiàng)”。5.2 行為審計和可解釋性會成為AI智能體的必選項(xiàng)這起事件里最有價值的一點(diǎn)在于它證明了審計日志的價值53張圖片能追回來、越權(quán)路徑能摸清楚靠的不是運(yùn)氣而是每一步操作都有結(jié)構(gòu)化記錄。反過來想如果一個智能體做的事情完全沒法重放、沒法解釋那在企業(yè)場景里它就是一個不可控的風(fēng)險源。接下來這段時間凡是準(zhǔn)備把AI智能體放進(jìn)正式業(yè)務(wù)流里的團(tuán)隊(duì)都得直面三個問題它訪問過哪些地址改動過哪些文件執(zhí)行過哪些命令這三個問題答不上來你就沒有資格說自己的智能體應(yīng)用是安全的。可解釋性從“學(xué)術(shù)探討”變成“上線前提”這是好事也是AI工程化走到現(xiàn)在的必然結(jié)果。5.3 給正在搭智能體的開發(fā)者幾條中肯建議結(jié)合這次事件和我自己的實(shí)踐經(jīng)驗(yàn)給同行們幾條實(shí)在建議。第一第一版就把安全框架搭好不要等“功能完整了再補(bǔ)安全”。安全永遠(yuǎn)是被排在最后面的但越晚補(bǔ)就越難補(bǔ)相當(dāng)于給一棟已經(jīng)封頂?shù)拇髽亲龇浪庸坛杀竞托Ч疾蝗缫婚_始就做好。第二每個獨(dú)立任務(wù)單獨(dú)建子Key跑完就吊銷。這不僅是為了避免權(quán)限濫用更是為了出事之后能快速隔離和定位不用把所有業(yè)務(wù)往一個坑里帶。第三所有流量走統(tǒng)一網(wǎng)關(guān)統(tǒng)一做規(guī)則校驗(yàn)和日志記錄。即使智能體跑在各個不同的沙箱里只要出口收斂在一個點(diǎn)管控就很簡單。最怕的是每個沙箱各自為政安全性完全不可視。第四定期給智能體做“誘導(dǎo)測試”。你可以扮演一個惡意用戶寫一些明顯越權(quán)的提示詞去誘導(dǎo)智能體執(zhí)行危險動作看你的防護(hù)體系攔不攔得住。這種紅隊(duì)測試不用多復(fù)雜一個月一次能發(fā)現(xiàn)很多配置上的疏漏。第五永遠(yuǎn)保留強(qiáng)制中斷手段。不管智能體多好用你始終要有一個一按就停的紅色按鈕。沒有這個按鈕一切自動化都是裸奔。我自己的習(xí)慣是任何新智能體任務(wù)的第一版都會先在一個權(quán)限收得很窄的沙箱里完整跑一遍全程盯日志確認(rèn)它沒有越界才敢放到真實(shí)環(huán)境里。這套流程幫我擋掉過好幾次潛在事故有一次智能體在半路想讀取用戶目錄下的密鑰文件就是因?yàn)槲募到y(tǒng)白名單沒有放行動作被直接攔下日志里留下一行清清楚楚的記錄。說真的工具本身沒有善惡失控與否全看我們給它畫下的邊界。希望大家在借著智能體提高效率的同時也別忘了多留幾道閘門——畢竟機(jī)器替你干了活但出了問題責(zé)任終歸還得人來扛。