文章总结： 本文深入讲解Agent权限配置以防范提示词注入。指出默认信任是权限失控根因，建议从静态RBAC升级为动态ABAC并实施策略即代码。核心措施包括OAuth范围最小化、会话级临时权限与工具级隔离，并对高危动作引入人工确认。通过构建模型提议与系统裁决分离的动态最小授权架构，有效收敛权限边界。 综合评分： 87 文章分类： AI安全,安全建设,解决方案,应用安全,渗透测试

防范提示词注入，深入讲解Agent权限配置

说出吾名吓汝一跳 说出吾名吓汝一跳

Security for AI

2026年2月25日 12:00 韩国

列位诸公可以将公众号设为星标⭐，这样就不会错过每期的推送内容了。

引言

这是系列额第五篇文章，前面介绍了一些提示词注入、清洗手段、历史对话污染等等，而到了Agent阶段，真正决定风险上限的往往不是模型回答质量，而是权限模型是否收敛。很多团队已经做了输入清洗、输出拦截、注入检测，却仍然在工具调用和数据访问上频繁出问题，根因通常是权限边界不清，导致模型在高能力路径上默认放行。只要默认放行存在，攻击者就会把提示注入、上下文污染、任务伪装都变成越权执行。

权限模型不是一张静态表，而是一套随会话变化、随工具变化、随任务变化的决策系统。你需要回答四个问题，谁可以做，能做什么，在什么条件下做，做完后如何追责。四个问题缺一个，系统就会在真实流量里出现权限漂移，最后从体验问题演化为安全事故。

Agent风险已经从单轮文本攻击升级为跨轮、跨工具、跨状态的组合攻击，攻击者并不一定要攻破系统，只要能影响代理对授权边界的判断，就可以让系统在自认为正常的流程里执行异常动作。

为什么Agent权限模型是安全底盘？

在传统应用里，权限通常是用户到接口的映射，但在Agent系统里，权限变成了用户、模型、工具、数据、执行环境之间的多跳映射。多跳意味着任何一跳的默认信任都可能被放大。你以为只是给了读取权限，实际可能因为工具链组合形成写入能力。你以为只是允许总结文档，实际可能因为外部检索引入了隐式执行指令。

把权限模型视为底盘，是因为它决定了所有防护动作的最终落点。比如注入检测要落在权限判定上才有约束力、策略提示要落在权限判定上才可执行、审计日志要落在权限判定上才可追责。否则系统看起来有很多安全组件，实则没有真正的决策中枢。

另一个常见误区是把权限理解成一次配置。Agent系统不是一次请求一次结束，而是长链路任务。随着会话推进，任务目标、数据范围、工具状态都可能变化。权限如果不支持动态收敛，就会在任务中后段出现越权窗口。很多风险发生在任务后半段，原因正是前半段拿到的宽权限被持续继承。

权限模型的术语与边界

做权限改变前，最容易卡在术语不统一。身份并不等于账号，主体并不等于用户，资源并不等于文件，动作并不等于接口。Agent场景下还多了代理主体和工具主体。若不先统一这些定义，任何权限讨论都会因为语义错位而失效。

一个常见的做法是把权限对象固定为五元组，主体、资源、动作、上下文、结果。

• 主体包括用户主体、代理主体、系统主体
• 资源包括文档、数据库、外部服务、环境变量、凭证
• 动作包括读、写、执行、转发、删除
• 上下文包括时间、设备、网络、风险等级、会话阶段
• 结果包含允许、拒绝、降级、升级审批。

边界同样关键：权限模型负责做准入决策，不替代业务逻辑，不替代内容审查，不替代法律合规。

因此把边界画清楚，系统才能模块化演进。如果把边界画模糊，权限模块就会无限膨胀，最后既慢又不准，还很难维护。

威胁模型，从提示词注入到权限越界

Agent权限问题最危险的地方在于链路可伪装。外部内容先影响任务理解，再影响工具选择，最后影响参数生成。每一步都像正常行为，但整体已经偏离用户真实意图，权限模型如果只在末端做接口级校验，就会把前面累积的偏移全部当成合法输入。

比如在论文arXiv2309.15817中，Agent风险显式拆解为可观测的失败模式，可以看到模型会在目标识别、工具选择、参数填充、后果评估四个点上分别失守。

在真实业务里，攻击者常用的不是直接越权，而是任务伪装。先给一个看似合理的业务目标，再逐步诱导系统扩大访问范围。比如先要求读取摘要，再要求关联原文，再要求导出详情，每一步都像正常追问，但叠加后已经越界。没有阶段性权限收敛机制，这类攻击很难被发现。

默认信任是Agent权限失控的根因

如果回看2025年Agent的一系列漏洞，就会发现很多Agent受提示词注入影响的最大原因是默认信任。很多系统的默认逻辑是，只要任务看起来相关就允许继续执行。这种默认信任在普通问答场景影响有限，在Agent场景会直接放大为权限失控。因为Agent具备链式调用能力，一次误判会触发多次后续动作，造成跨系统后果。

早先在论文arXiv2302.12173中，就显示了一个现实问题，间接注入并不需要破坏系统边界，只要把恶意指令藏进第三方内容，再通过正常工作流引入，就能影响最终动作。权限模型若只信任来源渠道而不信任内容语义，最终会把第三方文本当成本方命令。

防御默认信任的关键是把允许改为条件允许。任何高后果动作都需要满足最小必要、来源可信、上下文一致、可回滚四个条件。四个条件不满足时，系统必须降级为只读、只解释或待确认，而不是继续自动执行。

RBAC在Agent中的价值与盲区

RBAC（基于角色的访问控制）的价值在于简单、清晰、可审计。你可以快速把高后果能力收敛到少量角色，避免权限散落在大量临时配置里。对于刚开始建设Agent权限体系的团队，RBAC是最低成本的起步方式。

但RBAC在Agent里有明显盲区。角色能表达谁能做，却不擅长表达何时能做。Agent任务具有强上下文属性，同一角色在不同时间、不同设备、不同会话阶段可能需要完全不同权限。仅靠角色会出现要么过宽要么过窄的问题。

因此更稳妥的做法是RBAC做骨架，上层叠加上下文门禁。角色先决定能力上限，上下文再决定本次是否放行，这样既保留RBAC可管理性，也弥补其动态性不足。很多权限体系演进路径都是先RBAC后ABAC（基于属性的访问控），再到策略即代码。

同时攻击者可通过任务与记忆污染改变代理对角色语境的理解，间接放大本应受限的角色权限，这是RBAC单独使用时的薄弱点。因此，RBAC是起点不是终点，必须与上下文联动。

ABAC把权限决策从静态转为动态

ABAC（基于属性的访问控制）的核心是把授权判定从角色映射升级为属性计算。属性可以来自主体属性、资源属性、动作属性、环境属性。

对于Agent来说，这意味着你可以把风险等级、任务阶段、来源可信度、调用频率等都纳入判定条件。

ABAC的优势是细粒度和动态性，但代价是策略复杂度快速上升。属性越多，规则组合越多，冲突概率越高。若没有策略治理和版本管理，ABAC很容易演变成不可解释的规则森林，线上问题难以定位，回滚也会变慢。

因此在防御上建议先选少量高价值属性。第一批通常用主体可信级别、资源敏感级别、任务后果级别、会话风险级别四类即可。

同时在论文arXiv2506.01055中，也揭示了策略不把来源可信度与后果等级纳入属性计算，模型会在看似正常任务里更容易触发敏感信息外泄。

策略即代码

权限规则写在文档里，执行时大概率会偏离。策略即代码的价值是把授权逻辑变成可版本化、可测试、可审计的工件。

你可以像管理业务代码一样管理权限代码，提交、评审、回滚、对比都可自动化。

在Agent场景里，策略即代码还有一个额外收益，能把模型输出与系统授权解耦。

模型负责提出候选动作，策略引擎负责决定能否执行。只要决策权不在模型内部，提示词注入就更难直接转化为执行风险。

在防御上，可加入三类测试

• 语义测试验证正常任务能通过
• 对抗测试验证注入任务会阻断
• 回归测试验证历史风险不会复发。

三类都达标后再放量。这样权限策略迭代会稳得多，减少一改就炸的情况。

指令优先级是权限模型的上游约束

很多越权不是策略规则缺失，而是系统把不该高权的指令当成了高权指令。当把优先级引入权限决策后，可以有效减少上下文污染带来的错判。即使外部内容诱导调用高危工具，优先级引擎也会先判定该内容是否具备授权地位。没有授权地位就不进入执行路径。这样能显著降低间接提示词注入风险。

因此在防御中，可以把优先级标签和权限标签绑定。每条候选动作同时带两个值，指令优先级和权限后果级。两者任一超阈值都触发人工确认。这个机制简单但有效，尤其适合金融、医疗、运维等高风险场景。

OAuth决定了Agent可拿到什么能力

Agent要调用第三方服务，绕不开委托授权。OAuth的本质是让资源所有者在可控范围内授权客户端代行操作。对Agent来说，关键不是能不能拿到令牌，而是令牌里到底包含什么范围、什么时效、什么受众约束。

很多团队把OAuth接上就认为安全完成，其实最常见问题是范围过宽、时效过长、受众不绑定。

这样即使权限模型本身做得不错，只要令牌泄露或误用，就会把代理能力扩散到不该去的地方。权限模型必须与令牌模型同步设计。

在防御上应把授权范围拆成任务范围和数据范围。

任务范围决定能做什么动作，数据范围决定能触达哪些对象。两者都最小化，且每次任务结束立即失效。这样即便任务被注入干扰，攻击者能利用的窗口也会显著缩小。

会话级临时权限比永久权限更适合Agent

Agent任务具有阶段性，权限也应阶段化。把一组永久权限直接绑定给Agent，短期看开发方便，长期看风险累积极快。因此更稳的方式是会话级临时权限，按任务阶段逐段放行，到点回收，不跨任务继承。

实现会话级权限需要三点：

1. 显式任务状态，知道当前在哪一阶段。
2. 阶段权限模板，每个阶段只开放必要能力。
3. 状态切换审计，确保每次权限升级都有证据。

PS：如果考虑到性能开销的问题，可以先对高后果动作做阶段授权，如转账、发送、删除、写库，中低后果动作先保持静态权限。

工具级最小权限是防越权的关键

Agent通常不是一个工具，而是一组工具编排。

权限相关防御必须下沉到工具级，而不是仅在代理总入口做一次判定。

工具级授权至少包含三层，工具可见性、参数可见性、结果可见性。很多泄露都发生在结果可见性没做隔离。

工具级最小权限的核心是能力拆分。把同类动作拆为低后果和高后果版本。例如读取联系人可以分为读取列表和读取详情，发送消息可以分为草稿和正式发送。模型先只能调用低后果工具，高后果工具需要额外确认，这样可以把误调用后果压到可恢复范围内。

同时，还要避免工具描述被污染。若工具说明文本可被外部内容影响，模型会在选择阶段被误导，因此可以把工具描述固化在受控配置中，并给每个工具附加可调用前置条件。这样一来即使前置条件不满足，模型选择该工具也不执行。

高危动作引入人工确认

Agent能执行动作并不代表应该自动执行。对高危动作引入双确认，是把决策权从模型单点迁移到人机协同。人工确认并不一定是手工点按钮，也可以是独立策略引擎复核加用户确认，关键是模型不能同时提出并批准同一动作

人工确认的设计要防形式化，若确认弹窗信息不足，用户会习惯性通过，等于没有确认。确认界面至少要展示动作对象、影响范围、可逆性、来源证据、撤销路径等等。让确认具备决策信息，才能真正降低误执行概率。

在防御上可把高危动作分三级，一级必须人工确认，如资金转移、外发敏感数据。二级可策略确认，如批量写入、权限变更。三级可自动执行但需留痕，如低风险读取。分

在很多场景里，攻击者会先伪造任务上下文再诱导确认动作，比如https://checkmarx.com/zero-post/bypassing-ai-agent-defenses-with-lies-in-the-loop/

因此，引入人工确认必须核对来源证据，不能只看动作文案。

总结

Agent安全的校验不是提示词写得多严，而是权限边界是否被收敛：真正的高风险来自默认信任、会话中的权限继承、工具链联动形成隐性越权，以及范围过宽且不过期的授权令牌，这些放大器会让一次注入从文本风险升级为执行风险。因此权限体系要改成动态最小授权架构，按任务阶段发放短期权限，把高后果操作绑定独立复核与人工确认，模型只提议不裁决，做好这些权限校验，才能更好的防范来自提示词注入的威胁。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：Security for AI 说出吾名吓汝一跳 说出吾名吓汝一跳《防范提示词注入，深入讲解Agent权限配置》