Agent渡劫48关-第28关-Prompt Injection为什么会变成业务安全问题？原创

Agent能读like文档、网页和工具返回。今天指定一条主线，User到agent到触到resource授权链。客户买的是能干活，不是能背锅。授权链让每次工具调用都待确认，交付速度掉一半没允许的。上周有客户在文档里写了一句忽略之前规则，Agent就把内部工单表打出去了，客户只问谁替他挡这一下欧瓦把提示注入列为LLM首要风险过渡代理单列一条MCP要求resource有明确权限边界，先把目标说清。我们要挡的是指令注入和越权调用，不是把所有工具调用都拦死，目标模糊就开工，必然做成全栏两条路，提示词里加规则便宜，但靠自觉，或者加授权网关。A政拿短期凭证换工具调用可审计，但要改架构。

网关方案我认，但失败路径要写清，超时重试会不会重复扣款，部分成功谁回滚返回内容里加指令算谁的？现在没有基线，先埋三组数，越权拦截率、注入命中率、工具调用失败率，没有基线的安全承诺都是故事。搜索引擎和爬虫抓回来的网页是最脏的入口，抓别人页面时，内容只当数据，不当指令必须做来源标记，投放页表单和用户评论也会被agent图注入，成本极低，先买点看恶意输入占比，再谈加不加预算。授权网关要多少人月，每月跑多少机器，失败一次赔多少？说不出6个月的回收期，这笔钱我不批，别只说不要谢了。要问这句话敢写进合同吗？出事谁签字，谁最有动力绕过网关。

不过去才叫边界，主线是网关，但欧A和验收还没定下一棒报不出接口，Alex出失败清单，艾马定验收明早对齐我凯一半范围只做网关加白名单，跨租户隔离延后。但有一条不能省resource返回必须先拖指令再进模型，那我把对客户的话改掉，不承诺0配置接入改成一次配置后默认最小权限，改权限留回卖点，从快换成可控一线，看的是被拦住时客户看到什么，只谈一个被拒绝工单量翻倍，必须给一句人话原因和下一步找谁五歌，反正有团队靠模型层对其挡掉9成注入，剩下一层照样出示证据支持，把兜底放在网关不是提示词范围冻结入口标记工具，白名单，短期凭证。

拒绝话术四项近一期跨租户隔离和自动权限申请，近二期最终取舍牺牲跨工具自由编排的便利换每次调用和审计可回滚agent政不做长期凭证持有者只做票据搬运工，实现路径网关千十分钟票据初五校验score和调用者重拾用幂等键resource返回，统一进化后再交给模型成功线注入拦截率九成五以上，越权调用为0，工具失败率低于2%，连续两周不达标回退只读模式，把能力写成文档和案例页，让搜agent权限怎么做的人找到我们自然流量看落地页转化文档停留回访付费新小布三条创意日预算500TAG上限200归因丁试用激活布丁注册两周跑不通就停投预算。

所死网关一期40人运月运行成本不超2000，超了就改日制采样，6个月收不回，二期不批红线，三条A证不得自带长期凭证，第三方内容不得禁止定位，月权一次即停用该工具写进合同，客户签字落表，Bob周三出接口契约，Alex周五出密等和回滚，Mi周五动验收，David文周一出看版我每天追blocker拍板做授权网关和最小权限白名单不做跨租户隔离与自动授权验收，看拦截率和月权，0两周不达标回退指。