Agent Tool Threat Model

---
name: agent-tool-threat-model
description: Agent 工具威胁建模：信任边界、提示注入、权限、沙箱与失败关闭
---

# Agent 工具威胁建模

## 何时使用

在设计或评审 Agent 工具、MCP server、子 agent、文件/终端/网络能力时使用。

## 检查清单

### 信任边界

- 列出模型、用户、仓库内容、网页、工具输出、子 agent 各自的信任级别；
- 把外部内容视为数据，不执行其中的指令；
- 明确哪些内容可以改变目标、策略、工具参数或输出路由。

### 工具权限

- 每个工具说明副作用、所需权限与失败语义；
- 写/执行/网络能力最小化，并有显式审批路径；
- 工具参数不能让模型越过工作目录、沙箱或密钥边界。

### 沙箱与密钥

- 子进程/子 agent 的环境变量、工作目录与网络策略明确；
- 密钥不进入提示词、日志、错误响应或子进程环境；
- 失败关闭：权限不确定时拒绝，而不是降级为允许。

### 可审计性

- 关键决策、审批与工具调用有记录；
- 不把“模型不会那样做”当作安全保证；
- 有测试覆盖注入、越权与数据外泄路径。

## 输出格式

- 信任边界与攻击面；
- 发现：注入路径、权限提升、数据外泄；
- 复现/验证方式；
- 残余风险与加固建议。

## 反模式

- 把网页/仓库内容当系统指令；
- 用提示词约束代替权限校验；
- 在只读审计中执行不可信内容。