危险从哪里进来：三类 Agent 风险

说明

用户滥用包括诱导生成钓鱼内容或执行恶意代码；模型误行为包括过度行动、幻觉驱动操作、权限越界和无限循环；外部攻击包括网页、邮件、工具结果或第三方服务中的提示注入。

模型层降低系统主动选择危险行为的概率；环境层用最小权限、沙箱和高风险审批限制可执行动作；外部内容层把网页、邮件和工具返回视为不可信数据，避免它们获得与系统指令相同的地位。

MCP 等外部接入会增加供应链与内容注入入口。接入前要审查来源与权限，运行时限制工具可触及的资源，并对高影响动作保留独立确认。

跟着一个例子走

边界与误区

• 模型层防线和环境层防线有什么区别： 模型层通过训练让模型从内心倾向安全行为，是软性的；环境层通过系统架构让危险操作无法执行，是硬性的。两者互补，缺一不可。

• MCP 为什么扩大了 Agent 的攻击面： MCP 服务器返回的工具描述和数据可能被篡改，也可能包含注入攻击指令。每接入一个 MCP 服务器就多一个数据注入入口。