与传统问答不同，智能体可以调用外部工具执行实际操作，例如读写文件、查询数据库、发送邮件或调用内部接口。这使得模型输出的影响从信息层面扩展到系统层面。一个被诱导的调用可能导致数据被删除、邮件被发送或权限被修改，而这些动作在执行时看起来都是合法的系统操作。
第一，权限继承过大。如果智能体使用一个高权限账号执行所有工具调用，那么只要能影响它的输入，就能间接使用该权限。例如为查询订单而设计的智能体，若使用了具备全部数据库写权限的账号，风险显著放大。
第二，上下文混用。多用户共用同一智能体实例时，如果会话上下文没有严格隔离，用户可能访问到他人数据。
第三，参数未校验。工具调用参数直接来自模型输出，如果未做范围校验，模型可能生成超出预期的参数值，例如查询全部记录或访问任意路径。
第四，工具组合风险。单个工具都有限制，但组合使用可能形成新的能力。例如一个工具可以列出文件，另一个可以发送邮件，组合起来就可能实现数据外发。
第一，按最小权限分配。每个工具使用独立的、职责单一的凭证，权限范围严格限定在必需的资源与动作上。避免使用共享的高权限账号。
第二，执行前校验。在工具执行层做独立校验，检查调用者身份、资源归属和参数合法性，不直接信任模型输出的参数。
第三，用户上下文透传。把当前用户的身份传递给下游系统，由下游系统按该用户的权限做判断，而不是由智能体代表超级权限执行。
第四，高风险动作需确认。对删除、发送、支付、权限变更等不可逆操作，要求用户明确确认，或进入人工审批流程。
第五，工具粒度细化。提供窄接口而不是通用接口，例如提供查询指定订单的接口，而不是执行任意查询语句的接口。
第六，全程审计。记录工具调用的发起者、参数和结果，支持事后追溯。
智能体的安全边界由工具权限决定。把工具当作受控的接口来设计，而不是给模型一把万能钥匙，是控制风险的关键。
售后客服
企业微信
