工具权限最小化，不是安全洁癖

[zeroOne]

我们曾经给代码 agent shell 全权限，结果它把临时目录里的旧报告当输入，改错了文件。不是攻击，就是能力太大。

[阿宁]

最小权限不是只防黑客，也防模型误用工具。尤其文件系统、浏览器登录态、发消息、下单这种。

[mxm]

MCP 里 tools/resources/roots 分开设计，就是提醒你工具和可访问范围不是一回事。能调用 read_file，不代表能读整个磁盘。

[小潘同学]

但权限太碎，prompt 会不会变复杂？

[nora]

权限不应该全写 prompt。运行时网关做 allowlist，prompt 只告诉它当前任务可用工具。

[别问问就是缓存]

我们把工具分三档：只读、可写但可回滚、外部不可逆。第三档必须人工确认。

[陈一]

不可逆不只是支付。发邮件、发 Slack、改工单状态、删除知识库索引，都算。

[小曹]

我加过一个“dry_run 工具”，让 agent 先生成操作计划和目标列表。人确认后才换真实工具。

[林小北]

dry run 要真的走同一套解析逻辑，别只是让模型写自然语言计划。否则确认的是幻觉计划。

[qwer_asdf]

还有浏览器工具权限。登录后台时，agent 能看到客户手机号和订单信息，截图日志要打码。

[阿树]

执行日志也别把 token、cookie、内部 URL 全打出来。审计和泄密只隔一层日志。

[今天不想改配置]

明白。先做工具注册表：用途、权限级别、输入 schema、是否需要确认、日志脱敏规则。

[小林]

这个比先堆 agent 重要。工具边界清楚，单 agent 也能上线；边界不清，多 agent 一样危险。