Security 与 Sandbox

用 capability、isolation、credential 与 audit 把模型意图限制在真实安全边界内。

推荐阅读顺序

1. Agent 会被什么攻击：Threat Model 与 Prompt Injection

回答：Agent 的攻击面来自哪些不可信输入，direct / indirect prompt injection 如何影响 Tool 行为而不只是影响文本？

2. 不可信输入怎样限制权限：Tool Result、Permission 与 Capability Security

回答：Tool result 不可信时，Permission Model 和 capability 怎样让它无法凭内容扩大执行权限？

3. 高风险 Tool 怎样只拿最小权限：Risk、Least Privilege 与 Approval

回答：Tool 风险怎样分类，高风险能力如何用 least privilege 和 approval 限制 blast radius？

4. Sandbox 该隔离什么：Process、Filesystem 与 Network

回答：执行不可信代码时，Process / Filesystem / Network 三个隔离维度分别防什么，缺一个会暴露什么？

5. Container 为什么不是完整 Sandbox：Resource、Credential 与 Security Boundary

回答：Resource limit、credential isolation 与 sandbox 的关系是什么，为什么普通 container 不能自动提供完整安全边界？

6. 模型能想和能做为什么要分开：Brain / Hands 与 Delegated Authorization

回答：Brain 的语义决策和 Hands 的实际权限如何隔离，用户 delegated credential 又该由谁持有和使用？

7. 多租户环境怎样保护 Secret 和 Workspace Trust

回答：Secret 怎样按需注入，多 tenant 数据如何隔离，为什么 workspace config / skill 必须先建立 trust 再加载？

8. 观测数据该留什么、删什么：Retention、Redaction 与 Audit

回答：Prompt、Tool Result、Artifact、Trace 和 Audit 中的敏感数据分别应保存多少、在哪个边界 redaction；安全审计又怎样保留足够证据而不复制全部原始内容？

本模块学习边界

• 暂不展开：组织级完整 IAM/合规体系；先聚焦 Harness capability、isolation、credential trust boundary