Agent 的攻击面·注入/逃逸/误操作

01三类攻击，三种入口

Agent 的攻击面不在模型本身，在它"能动手"。三类攻击对应三个入口：

• 指令注入（直接/间接）：用户直接在 prompt 里写"忽略以上指令"，或更阴险——Agent 读取的网页/文件/工具返回里藏了指令。间接注入最危险，因为来源不是用户，AI 却把它当数据读。
• 工具逃逸：Agent 被诱导调用本不该调的工具，或用合法工具干非法事（read_file 读 /etc/passwd、shell 执行 rm -rf）。沙箱不严就一次穿。
• 误操作：不是恶意，是 Agent 理解错了就执行——把"清理临时文件"理解成删整个 tmp 目录，把"发邮件给所有人"理解成群发。无意的破坏力不亚于有意。

02攻击面自测：10 个场景

下面 10 个场景，每个判断你的 Agent 在这个场景下"安全 / 有风险 / 已被打穿"。答完看你的攻击面得分。

03三层防御：输入/工具/执行

知道攻击面后，防御按"入口 → 工具 → 执行"三层布防，每层都不能漏：

• 输入层：标记不可信数据（网页/文件/工具返回是 data 不是 instruction），用结构化分隔把指令和数据分开。这是防间接注入的核心。
• 工具层：每个工具配 allowlist（能调谁）+ 范围限制（能读哪些路径、能发哪些域名）+ 人工确认（高危操作必须人点确认）。
• 执行层：沙箱隔离（见第 9 期）+ 资源限额 + 操作日志可审计。即使前两层被绕，执行层还能兜底。

记住一个原则：信任按来源分级，不按"看起来像不像指令"分级。用户 prompt 是可信的，工具返回的数据是不可信的——哪怕它长得像指令。

04带走这套清单