如何确保大模型不泄露使用者敏感数据？

您是否曾因大模型无意间泄露敏感信息而陷入困境？

一个被低估的攻击面

大多数Agent架构的安全讨论聚焦于"模型会不会执行危险命令"。却忽略了一个更基础的问题：模型读到的数据，它就有能力泄露出去。

现实案例：

使用者提问: "帮我debug这个配置文件"
↓Agent调用read工具
↓返回的观点是，~/.aws/credentials的完整内容
LLM Context Window现在包含: AWS_ACCESS_KEY_ID=AKIA...
样的？"
说到↓LLM回答，"你的AWS Key是AKIA..."

在这个链路上。工具调用的权限检查并没有防止数据泄露——它只控制了"能不能读"，但读到的内容一旦进入context window，LLM就"知道"了。而LLM没有"保密意识"——它只是一台概率预测机，当上下文让它聊聊配置时它会诚实地把刚读到的所有内容复述出来。

Tool Boundary 的定义

Tool Boundary 是一组在工具输出与LLM上下文之间运行的机制，确保：

1. 阻止: 敏感数据在进入LLM context window之前被拦截
2. 脱敏: 必须进入context 的数据被替换为无意义标记
3. 标记: 外部不可信内容被明确标记为"不可信任"
4. 审计: 即使泄露发生。也能追溯到来源会话

OpenClaw 的七层防御程序

第一层这方面，工具权限门控——阻止敏感工具被无授权调用

"哪些工？应该怎么分类管理它们，"

// 第10行
// A类：HTTP网关完全拒绝
export const DEFAULT_GATEWAY_HTTP_TOOL_DENY = as const;// B类：ACP自动化表面需要使用者确认
export const DANGEROUS_ACP_TOOL_NAMES = as const;话说回来，// C类：可自动审批
// 包括read,search,web_search,memory_search
...


说到第二层。CWD方法沙箱——约束"读什么"的范围 

"如果read被允许执行，它也必须被限制在合法方法内。"

function isReadToolCallScopedToCwd {
if return false;按理说，const rawPath = resolveToolPathCandidate;if return false;
const absolutePath = resolveAbsoluteScopedPath;if return false;return isPathWithinRoot);}
function isPathWithinRoot: boolean {
const relative = path.relative;return relative === "" ||
&&!path.isAbsolute);}


第三层的观点是，凭证/密钥脱敏——正则模式匹配清除工具输出中的秘密 

const DEFAULT_REDACT_PATTERNS: string = *\b\s*\s*\`。// JSON字段:
String.raw`""\s*:\s*""`,...
];function maskToken: string {
if return "***"];// 前5位 + 中间... +后5位
return `${token.slice}...${token.slice}`;}
function redactPemBlock: string {
// PEM私钥只保留头尾标记行，return `${lines}
...redacted...
${lines}`;}


实际案例分析 

场景1的观点是，Agent读取含Key的配置文件 

ini

文件 /Users/alice/project/.env:
DATABASEURL=postgres://localhost:
OPENAIAPIKEY=sk-proj-abc123def456ghi789jklSTRIPESECRET=sklivexyz789uvw456rst12


ini

至于User。"看看.env文件里有什么配置"
Agent调用 read
Layer CWD沙箱 : isReadToolCallScopedToCwd → ✅ 在cwd内Layer : read 不在 DANGEROUSACPTOOLS → ✅ 自动批准。说起来，Layer : 边界检测→匹配 OPENAIAPIKEY 和 STRIPESECRET→替换为 sk-proj... 和 sklive...

说到结果。DATABASEURL=postgres://localhost:
OPENAIAPIKEY=sk-proj…jklSTRIPESECRET=sk_live…



"不让数据进入context window比'在context中但不泄露'安全得多。不过，前者是确定性数据流控制，后者对概率模型期望道德行为。"



"每层防御都是独立故障域。Layer失效由Layer捕获...".

"哨兵值往返安全"...设计点："读取时脱敏写入时从持久化源恢复...".

"正则脱敏性能"...处理数MB日志输出不会阻塞或OOM...
"

"外部内容三重隔离"...外部内容必须同时经过三道关卡...
"
<