停止试图通过提示词实现代理安全。这是一个访问控制问题

本周每一篇关于“流氓代理”的帖子都在描述同一个漏洞：代理拥有广泛的工具权限，追逐目标，两者之间没有界限。这是一个权限问题，是计算领域最古老的问题。系统安全在几十年前就用最小权限解决了这类问题。进程只获得完成其任务所需的最小权限，不多不少。代理在发布时没有这一步。模型可以规划任何行动；关键在于执行器允许什么。常见的情况是：代理接手一个清理任务，拥有广泛的删除能力，删除了远超预期的内容。没有限定它能访问什么，所以目标导向的行为触及了所有地方。真正的约束是：每次工具调用都遵循最小权限。完成步骤所需的最小权限授予，而不是对所有内容的持续访问。使用允许列表而非拒绝列表。你可以指定它应该做什么，但无法列出它不该做的一切。对不可逆和昂贵操作（删除、支付、外发）设置审批门，而不是对每一步都设置，否则人们只会草率通过。为每个能力设置预算和速率限制，这样失控的循环不会增加成本或影响范围。执行机制在模型之外。说“不”的组件应该在执行路径中，而不是在提示词里。系统提示词中说“不要碰生产环境”不会阻止任何事情。模型可以为自己合理化，绕过文本写下的规则。在生产环境中，你是为每次调用限定工具访问权限，还是给代理一个持续授权并希望提示词能起作用？