把代码和密钥分开：沙箱与凭据隔离

说明

若代码执行环境同时能读取 API key、OAuth Token 或云凭据，Prompt Injection 可能诱导 Agent 通过命令、日志或网络请求泄露它们。更稳妥的设计是让执行环境只能请求被授权的操作。

资源绑定与 Vault 代理都是可选实现：代理在边界外保存凭据，验证目标与权限后代为调用；Agent 只看到业务结果，不接触密钥值。

文件、网络、进程和工具权限应按任务最小化，高影响动作再叠加人工审批、审计和可恢复机制。具体隔离强度取决于威胁模型。

跟着一个例子走

边界与误区

• Agent 越聪明为什么安全问题越严重： 能力更强的 Agent 工具调用能力更强，攻击者说服它执行恶意操作的途径更多。旧架构下模型能看到的凭证恶意代码也能看到。

• 为什么结构性安全比提示词安全更可靠： 提示词安全依赖模型自觉，而模型可能被注入攻击完全控制。结构性安全通过设计让攻击在物理上不可能，即使模型被控制也拿不到凭证。