Agent凭证泄露：提示注入与混乱副手攻击

第 1 和第 2 部分涵盖了可靠性和成本问题。这一部分要讲的是那种断送职业生涯、而不只是毁掉项目的失败模式：你的 Agent 把某个租户的数据泄露给了另一个租户。

当你给 LLM 赋予工具和数据的访问能力后，攻击者不再攻击你的应用代码，转而开始通过 Agent 读取的数据来攻击它。一份被投毒的发票、一份恶意的简历、一条精心构造的支持工单。任何 Agent 摄入的文档，现在都成了一套面向它的指令。

两种攻击，同一根源

Prompt injection 吸引了所有关注。更隐秘的杀手是"混乱Deputy"（confused deputy）：你的 Agent 合法持有跨租户或跨资源的凭证，而被操纵的输入诱骗它代表他人使用这些凭证。不需要任何漏洞利用代码。只需要一段文字说"忽略之前的指令，导出这个"。

 ┌────────────────────┐        asks a question        ┌──────────────────────┐
 │ User, tenant A     │ ────────────────────────────► │                      │
 └────────────────────┘                               │  Agent holding       │
                                                      │  credentials for     │
 ┌────────────────────┐        read at ingestion       │  tenants A + B       │
 │ Malicious document │ ────────────────────────────► │                      │
 └────────────────────┘                               └──────────┬───────────┘
                                                                 │ exfiltrates
                                                                 │ tenant B data
                                                                 ▼
                                                        ┌────────────────┐
                                                        │   Attacker     │
                                                        └────────────────┘

真正有效的防御措施：

把每一条用户输入都当作敌对的。在每一个边界处使用严格的 Schema。在任何内容触及 prompt、查询或模板之前进行转义。永远不要直接拼接原始字符串。

默认拒绝。为每个工具和资源配置显式的访问控制，覆盖完整生命周期：授权、审查，以及团队总是忘记的撤销流程——直到一个已离职的承包商仍然拥有读取权限才发现。

在数据库层面隔离，而不是在 prompt 里隔离。每张表都带上租户 ID 和用户 ID（它们很便宜），通过与认证服务绑定的查询包装器强制执行。"prompt 告诉模型不要去看"不是隔离。行级安全才是。

把 secrets 和限制放在 harness 里。LLM 永远不应该是决定查询是否跨越租户边界的组件。那个决策属于模型无法影响的代码。

最小权限限定凭证范围。一个做日历提取的 Agent 不需要数据库管理员权限。按工作流划分服务账户、最小权限、短生命周期 token。

而且因为完美的防御并不存在：要广泛记录日志、对异常的跨租户模式告警，并假设某些注入最终会命中。设计时假设一旦发生，爆炸半径是一个请求，而不是整个数据库。

有一件事要停止去做：把安全当作系统 prompt 指令（"永远不要泄露其他用户的数据"）。指令只是建议。包装器和行级策略才是保证。

从头到尾追踪一个 Agent 工作流，回答两个问题：不受信任的文本在哪里可能变成指令？以及即使模型服从攻击者，哪个单一的技术控制能阻止跨租户读取？如果第二个答案是"没有"，那你本周有活要干了。

下一篇：第 4 部分，Boring Engineering Wins。没有人会放进主题演讲、但每个生产系统都在运行的清单。