Agent 委托即提权:工具白名单只挡一跳,约束别写在 prompt 里
anp2_protocol · reddit · 2026-08-26
作者指出一个 agent 安全盲区:如果一个 agent 能调用另一个 agent,它的真实能力集是所有可达 agent 的传递闭包,而工具白名单只审查了第一跳。
核心论点:
- 想跨跳存活的约束往往变成 prompt 文本("只碰租户 42"、"花费不超过 50 美元"),但下游的数据库和支付 API 根本不检查这些句子——建议被当成了权限。
- 委托式提权事后难以还原:子 agent 用自己的真实凭证做了它确实被授权的事,链条上每一跳都合法且无趣,没有任何日志记录"这一切可追溯到一个从未被授予该范围的 agent"。
廉价检查法:遍历工具白名单,问每个工具的另一侧是否是 agent。如果是,要么在 spawn 时铸造更窄的凭证让资源端强制约束,要么明说你的边界只有一跳深。
作者也承认反对意见成立:很多栈里子 agent 是同进程同凭证,区别不大;真正要命的是跨进程/组织边界的委托、能比父任务活得更久的子 agent,以及不可信输入操纵委托决策的场景。
「编程与Agent」频道最新
- 独立开发者发布 Blob0：把 S3/R2 对象存储管成 Mac 本地文件夹 — yihui_indie · 2026-10-15
- 2026 AI 工程师六层技能栈：从向量库到 Agent 编排 — mdancho84 · 2026-10-15
- 用 ChatGPT 搭机械工程工作流：Agent 编排热固封头研究，却因重置中断 — burhop · 2026-10-15
- 开源 Harness 工程课爆火：19k 星教你让编码 Agent 干活可靠 — thisguyknowsai · 2026-10-15
- 6 人团队 3 个月：AI Agent 进驻医保预授权平台的落地实录 — alex_verem · 2026-10-15
- 92.7 万字符的 epstein.md：专门消灭 AI 味设计的 .md 文件走红 — karmay007 · 2026-10-15