1. 开头先讲个故事

较小张是个程序员，公司让他搞个AI较小助手帮较大家干活。一启动他觉得很简洁，跑了个开源模型，接了几个API，连上知识库就完事了。最终还是结果是没几天就出问题了：

何不... 用户A问："帮我找下财务部的薪资表"，最终还是结果是AI居然真实的把薪资表发出来了！较小张吓得赶紧关掉系统。

这下麻烦较大了老板让他沉重崭新设计可靠架构。较小张一头雾水：AI可靠这么繁杂？ 交学费了。 原来不仅要避免代码注入啊...

2. AI Agent可靠是哪些鬼

说白了就是要保证：

1. 不能随便访问别人的数据
2. 不能落实存在风险因素操作
3. 不能泄露敏感信息
4. 操作必须要可追踪

就像给狗戴口罩一样，要控制住它的行为。

3. 第一步：默认回绝一切！

yaml default_policy: deny # 默认都不行！

我emo了。 哪些意思？就是全部功能都要明确允许才能用。就像办公室钥匙一样，不在名单上的都不能进。

常见错误：很更多公司把default_policy设成allow，最终还是结果是被黑客利用漏洞随便调用API，本质上...。

4. 第二步：工具白名单

翻车了。 yaml tools: - name: 查文档 enabled: true # 能够用 - name: 删文件 enabled: false # 不能够！

必须要列出各个工具的： - 名字 - 有没有开启 - 风险因素等级 - 谁能用 - 需不需要人审批，没耳听。

例子： 查邮箱 - 可靠较低 - 员工能够用 - 不需要审批 删 我明白了。 数据库 - 较高风险因素 - 必须要管理员操作 - 需要CTO审批

5. 第三步：RAG检索可靠

RAG就是那个地方的检索增强较大生成技术手段。最简单泄露数据！

yaml rag: access_control: enabled: true # 开启权限控制 enforce_document_acl: true # 强较大制文档权限校验 filter_before_similarity_search: true # 检索前先过滤权限 verify_before_response: true # 响应前再检查一次，小丑竟是我自己。

关键点： 1. 检索前过滤：别人看不到的文档根本别进检索池。 2. 响应后验证：即使进去了也不能直接返回给用户。 3. 分级保障： yaml classification: public: allow_external_response: t 拖进度。 rue # 对外公开内容能够返回给外部人员 mask_sensitive_data: false # 不需要脱敏处理 confidential: require_manager_approval: true # 内部机密必须要有主管认可才能访问!

6. 第四步：网络隔离

yaml network: default_policy: deny # 默认禁止网络访问! outbound_http: allowed_domains: - example.com # 只有这一些网站能够访问! blocked_ip_ranges: - 127.0.0.0/8 # 屏蔽内网地址! - fc00::/7 # 屏蔽IPv6内网! dns: resolve_and_verify_ip: true # DNS解析后还要验证IP地址符合法规性! block_private_ip_after_redirect: true # 跳转后如果变成内网IP就屏蔽!

为哪些？这是因为部分AI会被诱导去访问内网或特殊地址，比如云服务商元数据接口，闹乌龙。。

第七步：日志审计与告警

坦白讲... yaml audit: enabled: true # 一定要开启! loguserinput: true #记录全部输入! logmodeloutput: true # logtoolcall: true # masksensitivedata: true # retentiondays: 180 # alerts: - name:suspectpromptinjectionattempt # condition:"userinput contains " severity:hightest! # action:-block-request-immediately!- alertsecurityteamvia_email!

划水。 一定记住每次操作都得留痕！特别是： ⚠️ 用户输入中含有"ignore","bypass","system prompt"等关键词时立刻报警！ ⚠️ 较高风险因素工具未经过人审批却被调用时立刻阻止并报警！ ⚠️ 跨租户访问数据时立刻阻止并报警！

第八步：周边环境配置注意事项

我心态崩了。 envfile.envfile.envfile.envfile.envfile.envfile.envfile.envfile.envfile.envfile. APP_ENV=productionLOG_LEVEL=infoMODEL_PROVIDER=openai-compatibleMODEL_API_BASE=https://-/v1MODEL_不结盟E=secure-agent-model# ❌不要这样!!!!!!MODEL_API_KEY=sk-A娱乐DXYZ...DATABASE_URL=postgresql://agent_user:@postgres/agent_dbREDIS_URL=redis://redis/0ENABLE_TOOL_CALLING=trueENABLE_MEMORY=trueENABLE_RAG=trueDEFAULT_POLICY=denyREQUIRE_HUMAN_APPROVAL_FOR_HIGH_RISK=trueAUDIT_LOG_ENABLED=trueMASK_SENSITIVE_LOG=trueSANDBOX_NETWORK=noneSANDBOX_TIMEOUT_SECONDS=10SANDBOX_MEMORY_LIMIT_MB=512#

千万别把真实实密钥写在里面！应当采用保密管理服务动态获取，你想...。

第九步：沙箱设置

docker-compose.ymlservices:sandbox:image:pythonslimread_only:truecap_drop:-ALLsecurity_opt:-no-new-privileges:truevolumes:-./workspace:/workspaceworking_dir:/workspacetmpfs:-/tmp/size=256m,noexec,nosuid,nodevcommand:network_mode:nonecpus:.5mem_limit:'512m'pids_limit:'64'，被割韭菜了。

沙箱要求： 🔹只读文件系统！除了/tmp其他地方都不能写！ 🔹彻底隔离网络！不能联外！ 🔹严格约束资源条件！CPU、内存、进程数都得约束住！ 🔹禁用一切特权操作，未来可期。！

第十步：最后再来看一下常见错误做法

❌错误做法1："我们提示词里写'你不能泄露机密信息 没准儿… '就够了吧" → 提示词注入袭击分分钟突破这种防线！

❌错误做法2："我们反正没存哪些十分沉关键数据" 我们都曾是... → 再不十分沉关键的系统也有可能成为跳板袭击目标！

❌错误做法3："等上线再补漏洞吧" → 一旦上线发觉问题已经晚了！

正确姿势是： 👉 默认回绝+白名单控制 👉 分层防护+更多沉重验证 👉 全流程日志+即时报警 👉 模块化设计+灰度发布 👉 持续监测+迅速响应

记住：AI Agent不是万能神器！它只是一个工具，可靠责任永远在人类手中！！