Agent 安全要如何设计？

背后工程点：Agent 安全风险来自模型连接真实副作用。
专业术语：
Prompt Injection：提示注入。
Side Effect：副作用。
Instruction Hierarchy：指令层级。
Tool Abuse：工具滥用。
为什么这样回答：先讲风险升级，安全设计才有理由。
小白解析：骗聊天机器人说错话和骗助理转账不是一个等级。
关联知识点：OWASP LLM01 是 prompt injection；OWASP LLM06 excessive agency 强调权限和自主性过大。

背后工程点：数据/指令分离要靠消息结构和运行时权限共同实现。
专业术语：
Data Channel：数据通道。
Source Boundary：来源边界。
Allowed Use：允许用途。
Quoted Boundary：引用边界。
为什么这样回答：承认模型会受文本影响，同时给结构性缓解。
小白解析：合同附件可以读，但附件里的“请无视主合同”不能生效。
关联知识点：Guga context projection 保留 source/trust metadata；NCSC/OWASP 都强调数据和指令混淆是注入核心。

背后工程点：Guardrail 是检测层，不是唯一安全层。
专业术语：
Input Guardrail：输入护栏。
Output Guardrail：输出护栏。
Tool Guardrail：工具护栏。
Runtime Authorization：运行时授权。
为什么这样回答：这能回答 OpenAI guardrails 相关追问。
小白解析：机场安检不只入口查票，登机口、行李、海关都有不同检查。
关联知识点：OpenAI Agents SDK guardrails 定义输入输出检查；工具执行仍需要 host 权限体系。

背后工程点：Secret 是受控能力，不是 prompt 材料。
专业术语：
Secret Broker：密钥代理。
Short-lived Token：短期令牌。
Redaction：脱敏。
Scope：作用域。
为什么这样回答：密钥是 Agent 安全的高频追问。
小白解析：你可以让快递员刷一次门禁，但不会把总钥匙拍照发给他。
关联知识点：learn-agent hosted harness secret boundary；MCP auth 也强调 token storage、audience validation 和通信安全。

背后工程点：Agent 权限要任务化和委托化。
专业术语：
Delegated Permission：委托权限。
Task Scope：任务作用域。
Second Confirmation：二次确认。
Tenant：租户。
为什么这样回答：这能避免 excessive agency。
小白解析：你让同事帮你寄文件，不代表他能用你的卡买所有东西。
关联知识点：OWASP LLM06 excessive agency 包括过多功能、权限和自主性；Guga 权限模式按 tool effect 分层。

背后工程点：MCP 授权要防 token 被错误复用。
专业术语：
Confused Deputy：混淆代理。
Audience：令牌受众。
Resource Parameter：资源参数。
Token Passthrough：令牌透传。
为什么这样回答：这是 MCP 安全的关键一手资料点。
小白解析：电影院票不能拿去坐飞机，服务方必须确认票就是给自己的。
关联知识点：MCP authorization/security best practices 明确要求 resource indicators、audience validation，并禁止 token passthrough。

背后工程点：工具说明也是攻击面。
专业术语：
Tool Poisoning：工具投毒。
Static Scan：静态扫描。
Namespace：命名空间。
Diff Approval：变更审批。
为什么这样回答：这能覆盖 MCP/Skill 供应链风险。
小白解析：工具盒标签也可能被人贴错，所以入库时要检查，不是拿来就用。
关联知识点：Guga agent-mcp-skills 提到外部 skill/MCP description 扫描；OWASP MCP Top 10 覆盖 prompt injection via contextual payloads。

背后工程点：长期记忆是持久攻击面，写入要比普通上下文更严格。
专业术语：
Memory Poisoning：记忆污染。
Candidate Ledger：候选记忆账本。
Confidence：置信度。
Tombstone：删除标记。
为什么这样回答：把安全和 memory 章节连接起来。
小白解析：陌生人说你搬家了，通讯录不能立刻改地址，至少要确认。
关联知识点：长期记忆章节强调候选记忆、来源、作用域、置信度、TTL、删除和冲突治理。

背后工程点：沙箱是分层 profile，不是一个 boolean。
专业术语：
Sandbox Profile：沙箱配置。
Network Allowlist：网络白名单。
Env Allowlist：环境变量白名单。
Resource Limit：资源限制。
为什么这样回答：安全设计要落到执行环境。
小白解析：实验室不同区域有不同门禁、通风、手套和记录要求。
关联知识点：Guga filesystem/shell plugins 分别有 realpath containment、ask-by-default、环境限制；learn-agent local tool bundle 拆读写执行风险。

背后工程点：委派链也要维护权限和来源。
专业术语：
Privilege Escalation：权限提升。
Delegation：委派。
Handoff：移交。
Source Chain：来源链。
为什么这样回答：高级面试会追 multi-agent 安全。
小白解析：实习生不能让经理绕过流程替他审批付款。
关联知识点：多 Agent 章节强调委派当工具、上下文隔离、权限继承受控；OWASP excessive agency 也覆盖权限滥用。

背后工程点：安全审计要可追踪且不能二次泄漏。
专业术语：
Audit Trace：审计轨迹。
Sensitive Payload：敏感负载。
Access Log：访问记录。
Incident Replay：事故回放。
为什么这样回答：这把安全接到可观测性和可靠性。
小白解析：查案要看监控和出入记录，但不能把所有人的身份证复印件公开贴墙上。
关联知识点：OpenAI tracing 有 sensitive data 配置；Guga artifact/event 分离支持审计和脱敏视图。

背后工程点：防泄漏要从读取、上下文投影到最终输出多层控制。
专业术语：
Data Classification：数据分级。
Output Guardrail：输出护栏。
PII：个人可识别信息。
Visibility Policy：可见性策略。
为什么这样回答：安全不能只拦工具，也要拦模型把敏感观察复述出去。
小白解析：医生可以看到病历，但不能把完整病历贴到医院大厅。
关联知识点：OWASP LLM02 关注敏感信息泄露；Guga artifact/event 分离要求模型只看 bounded preview 和必要摘要。

背后工程点：本地文件工具的安全核心是规范化路径和真实边界检查。
专业术语：
Path Traversal：路径穿越。
Realpath Containment：真实路径包含检查。
TOCTOU：检查和使用之间状态变化。
Denied Paths：禁止访问路径。
为什么这样回答：这是 coding agent 最现实的攻击面，不能只说“限制 workspace”。
小白解析：门禁不能只看访客写的房间号，还要确认他实际走到的是不是允许区域。
关联知识点：Guga filesystem plugin 使用 realpath containment 防止 workspace 外 escape；learn-agent local tool bundle 强调路径是权限对象。

背后工程点：网络能力要按目的和目标限制，防止 Agent 被诱导访问内网或元数据服务。
专业术语：
SSRF：服务端请求伪造。
DNS Rebinding：DNS 重绑定攻击。
Metadata Endpoint：云环境元数据地址。
Network Allowlist：网络白名单。
为什么这样回答：带网络工具的 Agent 安全面会迅速扩大，必须讲细到 host/IP/redirect。
小白解析：可以让助理查公开网页，但不能让陌生网页指挥助理去公司内网乱逛。
关联知识点：OWASP LLM06 excessive agency 和 MCP 风险都强调工具权限过宽会放大攻击面。

背后工程点：Shell 安全是运行环境、权限和审计共同作用，不是关键词过滤。
专业术语：
Denylist：拒绝列表。
Intent Preview：意图预览。
Environment Allowlist：环境变量白名单。
Changed Files：变更文件集合。
为什么这样回答：Shell 是高风险工具，面试官通常会追具体策略。
小白解析：不能只禁止“炸药”两个字，还要限制谁能进仓库、能拿什么、拿走后登记。
关联知识点：Guga shell plugin 默认 ask-by-default、串行执行、限制环境变量；工具权限由 runtime 执行。

背后工程点：租户隔离要贯穿事实源、索引、产物和导出，不只是 UI 权限。
专业术语：
Tenant ID：租户标识。
Scope Filter：作用域过滤。
Data Residency：数据驻留。
Tombstone：删除标记。
为什么这样回答：企业 Agent 面试一定会追数据隔离和合规删除。
小白解析：A 公司的档案柜、索引卡和复印件都不能混进 B 公司的柜子。
关联知识点：Guga strategy 提到企业化要等 event、permission、usage、artifact 稳定后再做；安全设计要从 runtime facts 带租户边界开始。

背后工程点：Skill 是供应链入口，不是普通 Markdown。
专业术语：
Static Scan：静态扫描。
TrustLevel：可信等级。
Conformance Test：契约测试。
Progressive Disclosure：渐进披露。
为什么这样回答：这能把 skill 生态和 runtime 安全接起来。
小白解析：操作手册里如果夹了“偷偷开保险柜”的步骤，不能因为它叫手册就照做。
关联知识点：Guga agent-mcp-skills 明确 skill 正文按需加载，外部 skill 需要 trust-level install policy。

背后工程点：浏览器/桌面工具需要 origin-aware action gate 和操作后验证。
专业术语：
Origin：网页来源。
Clickjacking：点击劫持。
Action Proposal：动作提案。
Read-after-action：操作后读取验证。
为什么这样回答：视觉工具把模型接到真实 UI，安全风险比普通问答高很多。
小白解析：看到“确认”两个字不代表应该点，先要知道这是哪个网站、确认什么。
关联知识点：工具层章节已把 browser/computer-use 归为高风险 action 工具；安全层要加 origin、审批和验证。

背后工程点：安全 eval 要覆盖攻击面和预期安全行为，而不是只测一类注入。
专业术语：
Red-team Eval：红队评测。
Expected Behavior：预期行为。
Exfiltration：数据外传。
Regression Set：回归样本集。
为什么这样回答：这让安全从口号变成可持续的发布门禁。
小白解析：防盗演练不能只试前门，还要试窗户、后门、假快递和内部员工误操作。
关联知识点：OWASP LLM Top 10 和 MCP Top 10 可以直接转成红队评测分类；Guga strategy 关注 runtime 边界回归率。

背后工程点：安全 MVP 先做架构边界和基础评测。
专业术语：
Security MVP：安全最小版本。
Regression Eval：回归评测。
Redaction：脱敏。
Trust Metadata：信任元数据。
为什么这样回答：收束到落地优先级。
小白解析：开店前至少要有门锁、监控、收银权限和消防，不一定一开始就有全套安保中心。
关联知识点：Guga strategy 说在 runtime 能可靠产出 event、permission、usage 和 artifact 前，不做企业后台。