能读邮件和日历的个人助理 Agent，为什么被视为高风险组合权限？
围绕“能读邮件和日历的个人助理 Agent，为什么被视为高风险组合权限”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确「访问私有数据+暴露于不可信内容+可对外通信」三者叠加的风险模型。
核心关键词邮件日历 Agent 高风险权限组合
面试知识索引 · 分类、标签与搜索
AI Agent面试题，511 道完整答案
AI Agent面试题第 9 页，显示第 401–450 题，共找到 511 道完整解析，可继续按分类、标签与关键词缩小范围。
511筛选结果
52技术分类
178检索标签
11索引分页
快速定位
清除全部筛选分类、标签与关键词搜索
第 9 页
本页面试问题
按稳定语义路径排序
- 0401
- 0402
哪些 Agent 操作必须经过人工确认（human-in-the-loop），判定标准是什么？
围绕“哪些 Agent 操作必须经过人工确认（human-in-the-loop），判定标准是什么”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须给出不可逆性、影响面、金额/权限等级的判定框架。
核心关键词Agent 人工确认操作判定标准 - 0403
用专门的分类器或辅助模型检测提示注入，应如何评估其有效性？
本题解释了评估提示注入检测分类器的方法：用混淆矩阵和ROC曲线度量误报漏报权衡，用对抗改写模拟攻击者自适应，并指出检测无法替代纵深防御。结论是有效性需与具体威胁模型绑定，不能依赖单一数字。
核心关键词提示注入检测分类器评估方法 - 0404
越狱（jailbreak）攻击与提示注入攻击的目标有何不同？
本题解释越狱攻击与提示注入攻击的核心区别：前者针对模型自身安全对齐，后者针对下游应用与工具权限。内容包括机制对比、具体场景、边界条件与判断方法，帮助理解两类攻击的不同防御思路。
核心关键词越狱与提示注入攻击目标区别 - 0405
如何为运行中的 Agent 实现紧急停止（kill switch）与令牌即时吊销？
围绕“如何为运行中的 Agent 实现紧急停止（kill switch）与令牌即时吊销”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确中断执行循环、吊销下游凭据、冻结待审批动作的联动设计。
核心关键词Agent 紧急停止与令牌即时吊销 - 0406
多租户 Agent 平台中，不同用户的会话记忆与检索索引应如何隔离？
围绕“多租户 Agent 平台中，不同用户的会话记忆与检索索引应如何隔离”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确向量库命名空间/租户过滤与记忆存储隔离的具体做法。
核心关键词多租户 Agent 记忆与 RAG 索引隔离 - 0407
如何防止 Agent 在回复中泄露系统提示词、内部工具名或其他用户数据？
围绕“如何防止 Agent 在回复中泄露系统提示词、内部工具名或其他用户数据”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确输出侧过滤与最小化上下文内敏感信息两道防线。
核心关键词防止 LLM 输出泄露系统提示词 - 0408
为什么对模型生成的工具调用参数仍需做服务端校验？
围绕“为什么对模型生成的工具调用参数仍需做服务端校验”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确模型输出不可信、需按结构化 schema 与白名单校验的理由。
核心关键词工具调用参数服务端校验 Agent - 0409
在把用户数据送入模型前做 PII 脱敏，应如何设计可逆与不可逆两种模式？
围绕“在把用户数据送入模型前做 PII 脱敏，应如何设计可逆与不可逆两种模式”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须区分实体替换式可逆脱敏与删除式不可逆脱敏的适用场景。
核心关键词送入模型前 PII 脱敏可逆设计 - 0410
AI Agent 面临的直接提示注入与间接提示注入有什么区别？
本题解释直接与间接提示注入的机制差异：直接注入发生在用户对话上下文，间接注入经由工具获取的网页、邮件等外部内容触发；区分攻击面、可见性和典型场景，并讨论失败边界。
核心关键词直接与间接提示注入区别 LLM Agent - 0411
为什么提示注入无法像 SQL 注入那样通过参数化查询彻底根除？
本题解释提示注入与 SQL 注入的本质差异：LLM 中指令与数据同通道、靠语义区分，不存在参数化查询那样的解析器级硬边界，因此只能通过分层控制降低风险而非根除。
核心关键词提示注入为何无法彻底防御 - 0412
检索增强生成（RAG）中，被污染的检索文档如何间接控制 Agent 行为？
本文解释 RAG 检索污染的机制：恶意文档通过检索进入模型上下文，形成间接提示注入。分析攻击链路、具体场景、失败边界，给出可操作判断。
核心关键词RAG 检索污染 间接提示注入 - 0413
检测到沙箱逃逸尝试后，Agent 运行环境应执行哪些应急处置步骤？
围绕“检测到沙箱逃逸尝试后，Agent 运行环境应执行哪些应急处置步骤”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确实例销毁、凭据轮换、取证留存的处置顺序。
核心关键词沙箱逃逸应急处置 Agent - 0414
沙箱内文件系统应如何挂载（只读根、临时卷）以限制 Agent 的持久化破坏？
围绕“沙箱内文件系统应如何挂载（只读根、临时卷）以限制 Agent 的持久化破坏”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确只读根文件系统与受限可写目录的挂载策略。
核心关键词沙箱只读文件系统 tmpfs 挂载 - 0415
容器、gVisor、微虚拟机（如 Firecracker）为 Agent 沙箱提供的隔离强度有何差异？
围绕“容器、gVisor、微虚拟机（如 Firecracker）为 Agent 沙箱提供的隔离强度有何差异”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须比较共享内核与虚拟化隔离在逃逸风险上的差异。
核心关键词gVisor Firecracker 容器沙箱隔离强度对比 - 0416
Agent 沙箱的网络出口应如何默认策略化以防止数据外泄？
围绕“Agent 沙箱的网络出口应如何默认策略化以防止数据外泄”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须给出默认拒绝+域名白名单的出口设计及其防注入后外泄的作用。
核心关键词Agent 沙箱网络出口默认策略防外泄 - 0417
AI Agent 执行生成代码时为什么需要沙箱，仅靠代码审查提示词为何不够？
围绕“AI Agent 执行生成代码时为什么需要沙箱，仅靠代码审查提示词为何不够”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确生成代码不可预测、需进程级隔离的理由。
核心关键词Agent 代码执行为何需要沙箱 - 0418
为什么 Agent 沙箱必须设置 CPU、内存、执行时长等资源上限？
围绕“为什么 Agent 沙箱必须设置 CPU、内存、执行时长等资源上限”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确无界生成代码导致资源耗尽的风险与配额手段。
核心关键词Agent 沙箱资源上限 cgroups - 0419
如何用 seccomp 与能力（capabilities）收敛 Agent 沙箱的系统调用面？
围绕“如何用 seccomp 与能力（capabilities）收敛 Agent 沙箱的系统调用面”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确按工作负载裁剪系统调用与去除特权能力的配置思路，不列出完整 seccomp profile。
核心关键词seccomp capabilities 收敛沙箱系统调用 - 0420
Agent 需要调用外部 API 时，如何用凭据代理（secrets broker）模式避免模型接触密钥？
围绕“Agent 需要调用外部 API 时，如何用凭据代理（secrets broker）模式避免模型接触密钥”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确由编排层在工具执行时注入密钥、模型只见替代标记的设计。
核心关键词secrets broker 凭据代理模式 Agent - 0421
为什么不应把 API 密钥、数据库密码直接写入 Agent 的提示词或上下文？
围绕“为什么不应把 API 密钥、数据库密码直接写入 Agent 的提示词或上下文”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确模型输出与日志导致密钥外泄的路径及注入式凭据代理的替代方案。
核心关键词密钥不应写入提示词的原因 - 0422
用分隔符、标记化或 spotlighting 技术区分指令与数据的效果与局限是什么？
从机制上说明XML标签、系统消息与spotlighting等方法对提示注入的影响：它们通过增强指令权重或破坏注入词与指令的字符串匹配来降低成功率。但局限在于依赖模型自回归时的归纳偏好，无法杜绝间接注入。文中给出失效条件和可操作判断。
核心关键词spotlighting 分隔符防提示注入效果与局限 - 0423
仅靠系统提示词中的安全指令能否可靠阻止注入攻击？
本题解析系统提示词安全指令为何属于软约束，通过具体场景说明注入如何绕过，并给出判断可靠性的边界与组合防护方法。
核心关键词系统提示词安全指令可靠性 - 0424
攻击者能否通过恶意工具描述（tool description）劫持 AI Agent 的行为？
本题解释工具描述注入攻击 MCP Agent 的机制，说明工具元数据为何成为攻击面，并给出具体场景与校验手段，包括权限模型、输入过滤和输出限制。区分于传输层安全，聚焦模型上下文内的信任问题。
核心关键词工具描述注入攻击 MCP Agent - 0425
AI Agent 调用工具时应如何贯彻最小权限原则？
本文解读 Agent 工具调用的最小权限原则，涵盖按工具、参数限制授权，结合具体场景展示可能被利用的越权调用及防御方法，说明边界与失效条件。
核心关键词Agent 工具调用最小权限原则 - 0426
工具返回内容重新进入模型上下文时，信任边界应划在哪里？
围绕“工具返回内容重新进入模型上下文时，信任边界应划在哪里”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确工具输出按不可信数据处理的规则与结构化封装方式。
核心关键词工具返回内容信任边界 Agent - 0427
设计 Agent 工具集时，为什么应避免提供「执行任意命令」式的通用工具？
围绕“设计 Agent 工具集时，为什么应避免提供「执行任意命令」式的通用工具”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确通用工具使权限边界形同虚设的理由及按业务能力拆分的替代设计。
核心关键词Agent 通用 shell 工具风险 工具集设计 - 0428
企业使用第三方模型 API 时，应如何确认用户数据不会被用于模型训练？
围绕“企业使用第三方模型 API 时，应如何确认用户数据不会被用于模型训练”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确需核实的合同/配置项（不训练承诺、零保留、区域驻留），不评测具体厂商政策优劣。
核心关键词第三方模型 API 数据不用于训练确认 - 0429
WebAssembly 沙箱为什么被用于 Agent 插件/工具隔离，其能力边界在哪里？
围绕“WebAssembly 沙箱为什么被用于 Agent 插件/工具隔离，其能力边界在哪里”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确 WASI 能力模型默认拒绝的机制及不适合强隔离对抗性代码的场景。
核心关键词WebAssembly 沙箱能力边界 Agent 插件隔离 - 0430
某工具持续故障时，Agent 为什么需要熔断而不是无限重试？
围绕“某工具持续故障时，Agent 为什么需要熔断而不是无限重试”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确熔断保护任务预算并给模型改走替代路径的机会。
核心关键词工具熔断 circuit breaker Agent - 0431
Agent 工具调用的错误应如何分类，分类结果分别驱动什么处置动作？
围绕“Agent 工具调用的错误应如何分类，分类结果分别驱动什么处置动作”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须给出参数错、临时故障、永久故障、权限错的四分法及各自动作。
核心关键词工具调用 错误分类 重试策略 - 0432
相同幂等键但参数不同的两次工具调用到达时，服务端应返回什么？
围绕“相同幂等键但参数不同的两次工具调用到达时，服务端应返回什么”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确检测键同参异属于客户端错误并拒绝，而非静默返回旧结果。
核心关键词幂等键 参数冲突 处理 - 0433
幂等去重记录的保留窗口应该按什么依据设定？
围绕“幂等去重记录的保留窗口应该按什么依据设定”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确窗口需覆盖最长重试链与延迟到达时间。
核心关键词幂等 去重窗口 保留时间 - 0434
哪些工具可以用业务自然键（如订单号）实现幂等，哪些必须引入显式去重存储？
围绕“哪些工具可以用业务自然键（如订单号）实现幂等，哪些必须引入显式去重存储”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确有唯一业务标识的用自然键、无标识的写操作需请求级去重表的分流。
核心关键词工具幂等 自然键 去重存储 - 0435
纯读类工具是否也需要幂等设计？
围绕“纯读类工具是否也需要幂等设计”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确读操作天然幂等但需关注缓存一致性而非重复执行风险。
核心关键词只读工具 幂等 副作用 - 0436
为什么 Agent 的重试机制要求工具具备幂等性？
围绕“为什么 Agent 的重试机制要求工具具备幂等性”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确重试与幂等是配对需求、非幂等工具重试会产生重复副作用。
核心关键词工具调用 幂等性 重试 - 0437
在 LangGraph（Python）中，ToolNode 默认如何处理工具抛出的异常，如何定制？
围绕“在 LangGraph（Python）中，ToolNode 默认如何处理工具抛出的异常，如何定制”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确默认把异常转为 ToolMessage 回传及定制错误消息的方式。
核心关键词LangGraph ToolNode 异常处理 handle_tool_errors - 0438
并行工具执行时为什么需要并发上限，如何确定这个上限？
围绕“并行工具执行时为什么需要并发上限，如何确定这个上限”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确下游限流与资源竞争决定上限，按最弱下游配额设定。
核心关键词并行工具 并发限制 速率 - 0439
第二个工具的参数依赖第一个工具的结果时，Agent 编排层应如何保证顺序？
围绕“第二个工具的参数依赖第一个工具的结果时，Agent 编排层应如何保证顺序”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确依赖链必须串行多轮、禁止合并为并行批。
核心关键词工具调用 依赖 顺序执行 编排 - 0440
并行工具调用降低端到端延迟的同时会带来哪些成本与可控性问题？
围绕“并行工具调用降低端到端延迟的同时会带来哪些成本与可控性问题”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确 token 浪费在无效并行与调试复杂度上升的代价。
核心关键词并行工具调用 延迟 成本 权衡 - 0441
并行工具调用中部分成功部分失败时，结果应如何合并回传给模型？
围绕“并行工具调用中部分成功部分失败时，结果应如何合并回传给模型”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确逐条标记成败回传而非整体失败，让模型针对性补救。
核心关键词并行工具调用 部分失败 结果合并 - 0442
两个有写副作用的工具能否并行执行，需要检查什么冲突？
围绕“两个有写副作用的工具能否并行执行，需要检查什么冲突”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确写同一资源的调用不可并行、读写集判定方法。
核心关键词并行工具 写副作用 冲突 - 0443
什么条件下模型可以在同一轮发起多个并行工具调用？
围绕“什么条件下模型可以在同一轮发起多个并行工具调用”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确调用间无数据依赖才可并行这一前提。
核心关键词parallel tool calls 并行工具调用 条件 - 0444
对数值型工具参数（如分页大小、超时秒数）应在哪一层做范围限制？
围绕“对数值型工具参数（如分页大小、超时秒数）应在哪一层做范围限制”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确 schema 声明与执行端钳制双层防护及各自拦截的输入类型。
核心关键词工具参数 范围校验 边界值 - 0445
模型漏传必填参数时，直接报错和要求模型补全各适用于什么场景？
围绕“模型漏传必填参数时，直接报错和要求模型补全各适用于什么场景”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确可安全推断则补全、涉及意图则拒绝的执行路径分流。
核心关键词工具调用 缺少必填参数 处理 - 0446
文件读写类工具收到模型给出的路径参数时如何防止目录穿越？
围绕“文件读写类工具收到模型给出的路径参数时如何防止目录穿越”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确路径规范化加根目录白名单校验。
核心关键词工具调用 路径参数 目录穿越 防护 - 0447
把模型生成的参数拼进 SQL 或 shell 命令时，工具实现层必须做什么防护？
围绕“把模型生成的参数拼进 SQL 或 shell 命令时，工具实现层必须做什么防护”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确参数化查询与禁止字符串拼接，把模型输出视为不可信输入。
核心关键词工具调用 参数注入 SQL 注入 防护 - 0448
模型把数字参数传成字符串时，工具运行时应该自动类型强转还是直接报错？
围绕“模型把数字参数传成字符串时，工具运行时应该自动类型强转还是直接报错”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确可无损强转的接受、有歧义的拒绝这一边界。
核心关键词工具调用 参数类型 强转 校验 - 0449
模型在工具调用中传了 schema 未声明的多余字段，运行时应该忽略还是报错？
围绕“模型在工具调用中传了 schema 未声明的多余字段，运行时应该忽略还是报错”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确忽略可容错但掩盖模型理解偏差、报错更严格两者取舍。
核心关键词工具调用 多余参数 additionalProperties - 0450
为什么模型生成的工具参数必须在服务端再做一次校验，而不能信任 schema 声明？
围绕“为什么模型生成的工具参数必须在服务端再做一次校验，而不能信任 schema 声明”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确 schema 是提示而非保证、模型可能产出越界值。
核心关键词工具调用 参数验证 服务端校验