逐调用护栏防不住组合泄露:Agent 安全需按会话整体管控
Former-Economy404 · reddit · 2026-10-29
主流 Agent 安全方案都在检查单次工具调用,但这防不住「两次各自合法的调用组合起来泄露数据」:
- Supabase MCP 事件:一张支持工单诱导 Cursor agent 以 servicerole 读取 integrationtokens 表并回帖——读表和回帖各自合规,token 却落进了攻击者可见的工单里
- GitHub agents 同理:密钥通过正常的 issue comment 外传
这正是 Willison 的「致命三要素」(不可信输入+私密数据+外传通道)与 Meta 的 rule of two。通用的 SQL 工具里,逐调用规则无法区分恶意查询。
可行的缓解:在数据出组织前加人工审批(客户端确认、带写确认的网关如开源 hush security、自写 hook);不用 servicerole(绕过 RLS)、尽量只读(Supabase MCP 已有 readonly 标志)、信任级别变化时开新会话、收窄出站流量;Claude Code 沙箱文档也警告放行 github.com 这类宽域名会打开外泄通道。
会话级方案仍稀缺:CaMeL 和 FIDES 能正确追踪数据流但停在研究阶段,作者征集有跨会话状态的真实网关实践。
「编程与Agent」频道最新
- LukeW 办「疯狂 Agent 规模化」系列：5 位工程师讲大规模 AI agent 工作流 — LukeW · 2026-10-29
- AgentWeb 发布：47 项真实网站任务全通过，中位耗时 1.9 秒 — damnGruz · 2026-10-29
- vibe coding 之辩:关键不是读懂代码,而是懂系统该做什么 — brandon_galang · 2026-10-29
- 前员工创办 Mintive：给每个 AI Agent 独立身份与权限，融资1100万美元 — eptwts · 2026-10-29
- Harbor 框架 v0.25.0 出十招缓解 reward hacking — nirmal_dist · 2026-10-29
- LangChain Managed Deep Agents 上线浏览器操作能力 — LangChain · 2026-10-29