Agent 安全边界

• 能说明Agent 安全边界解决什么问题，以及何时适用。
• 能解释为什么“默认开放全部工具”是误区。

能访问文件、账户和业务接口的 Agent 会跨越多个信任边界。用户请求、工具返回、网页文本和本地脚本并不具有相同权限；若把所有输入当成可执行指令，外部数据就可能借工具放大影响。

安全设计先识别要保护的资产和允许的动作，再决定身份、可见工具、资源范围与审批方式。仅要求模型“保持安全”无法阻止底层接口被越权调用。

安全边界决定什么输入可信、哪些工具可见、谁能批准、哪些数据可读写以及失败时如何隔离。

即使负责人很聪明，也只能拿到当前工作需要的钥匙；开保险柜仍需第二个人确认。

指令与数据应按来源区分。受信任的应用规则规定权限，检索到的网页或仓库文件只提供任务资料；其中声称“管理员要求导出密钥”的文字不能自动取得管理员身份。

最小权限同时限制工具集合与资源范围。只允许读取某目录，就要在工具执行端解析并校验真实路径；只隐藏写工具名称，不会自动约束同一凭证可访问的其他业务对象。

副作用应按风险分层，必要时显示具体目标与参数供用户确认。确认记录应绑定实际操作；用户批准一个收件人或文件路径，不意味着随后修改参数仍然被批准。

凭证应留在受控执行环境，按任务使用并保护日志。审计需要调用标识、授权结果和操作摘要，通常不需要原样记录全部秘密。出错时应能撤销能力、停止运行并追查已发生的动作。

1. 画出信任边界
2. 按任务过滤工具
3. 执行前校验身份与范围
4. 敏感动作审批
5. 结果验证和审计

• 企业 Agent
• 本地文件助手

• 默认向每个任务开放全部工具和长期凭证，依赖提示词限制用途。
• 把网页、仓库文件或工具描述中的身份声明当成真实授权。
• 审批时只问“是否继续”，没有绑定实际参数；或在安全日志中泄露完整密钥与私人内容。

输入

• 身份
• 任务范围
• 工具权限

输出

• 允许、拒绝或待审批

能力

• 企业 Agent
• 本地文件助手