Prompt Injection — 提示注入 — 架构师应把它视为不可信数据影响控制流的问题，而非单纯的提示词质量问题。
Direct Prompt Injection — 直接提示注入 — 攻击指令直接来自用户输入，需结合使用政策、分类与能力边界处理。
Indirect Prompt Injection — 间接提示注入 — 恶意指令藏在网页、邮件、文件或工具返回中，是 agent 系统的高频攻击面。
Jailbreak — 越狱 — 通过诱导绕过模型行为约束，不能靠同层 prompt 禁令提供确定性防护。
Confused Deputy — 困惑代理问题 — agent 持有高权限却替低权限请求者执行越权动作，必须绑定调用者、资源与意图。
SSRF (Server-Side Request Forgery) — 服务端请求伪造 — 工具若能访问任意 URL，可能成为探测内网和元数据服务的跳板。
Least Privilege — 最小权限 — 每个工具、令牌和会话只获得完成当前任务所需的最小能力。
Authorization — 授权 — 必须由网关或业务代码确定性执行，不能委托模型自行判断。
Scope — 权限作用域 — 应按动作与资源细分，并在需要时渐进提权。
Sandbox — 沙箱 — 通过文件、进程和系统调用边界限制执行后果，适合高频自动化任务。
Egress Control — 出站控制 — 限制可访问的目的地与能力面，防止数据外传和任意联网。
Fail Closed — 失败时拒绝 — 规则缺失、校验异常或依赖不可用时默认不执行高风险动作。
Human Approval — 人工审批 — 适合低频、高影响且上下文可理解的决策，不宜覆盖每个微小动作。
Approval Fatigue — 审批疲劳 — 过量弹窗会让批准变成惯性动作，从而削弱人类门禁。
Data Residency — 数据驻留 — 规定数据处理和存储所在地域，是合规边界而非完整安全方案。
PII (Personally Identifiable Information) — 个人可识别信息 — 应在输入、日志、追踪和导出各路径分别做最小化与脱敏。
Token Passthrough — 令牌透传 — MCP server 直接转发上游令牌会破坏审计与信任边界，属于明确反模式。
📚 目录