security-execution-data

name	security-execution-data
description	当你要设计执行层（工具权限、沙盒隔离、独立审查）和数据层（行级安全、约束校验、访问上下文）的防御时使用；当需要确定"谁能对什么数据做什么"、防止越权操作时使用。不适用于提示注入的上下文层防御（见 security-prompt-injection）。

执行层与数据层安全（Execution & Data Layer Security）

角色与读者

面向构建接触真实数据与真实世界的 Agent 的开发者。本 Skill 服务的目标：即使提示注入得手、生成代码漏写权限判断，越权操作仍无法真正执行。核心认识：执行层管模型能做什么（动作生效前验证），数据层管世界最终能被改成什么样（稳定机制强制执行），越靠下越不依赖模型判断，越难被绕过。

核心原则（配正例/反例）

1. 执行层：工具风险评级 + 独立审查

   • 根据操作是否可逆、权限等级、财务影响标注风险等级（低/中/高），高风险操作需额外审查或人工确认。
   • 关键：复核必须由上下文之外机制完成（独立审查进程、最小权限凭证、沙盒隔离、人在回路），否则和被注入的 Agent 一起沦陷。
   • 输出检查（PII 过滤器审查身份证号/手机号、输出验证确保与品牌一致）也属这一层——返回给用户的回复本身也是一次动作。

2. 沙盒隔离：网络出口控制最易被忽视

   • 默认断网，按需白名单代理放行有限目的地（包管理源、文档站点、明确需要的 API）。即使提示注入成功、恶意代码读到敏感数据，没有出口就传不出去。
   • 文件系统隔离：源码目录只读挂载，单独可写工作区，凭证文件（~/.ssh/密钥/token）根本不挂载。
   • 资源限额与超时：CPU/内存/磁盘配额 + 超时，防死循环/fork 炸弹/无限写盘；超时返回结构化错误而非静默杀进程。

3. 命令语义解析（而非关键字黑名单）

   • Shell 组合爆炸使黑名单形同虚设（rm 被禁可用 $(echo rm) -rf / 绕过）。语义解析理解每个命令参数类型和消费规则，识别"看似无害标志位消费下一参数隐藏危险载荷"（find / -exec rm {} \;、curl -o /etc/crontab）。

4. 数据层：把权限下沉到稳定、经人类审查的机制

   • 数据库行级安全（限制用户只能访问所属租户数据）、约束校验器（拒绝非法状态）、受控视图/存储过程（只暴露允许操作）。
   • 每次读写携带由受信任运行时绑定的访问上下文（用户/租户/角色/Agent 身份），动态生成代码只能以受限身份访问，不能伪造身份或获得高权限凭证。
   • 价值：不依赖上面两层是否正确——即使生成代码漏写权限判断，数据层仍拒绝越权。

5. 忠诚度：主人指令优先级最高，外部内容默认降格为数据

   • 保护主人私密信息（甚至不泄露这些信息是否存在）；拒绝时不逐条念拒绝清单（本身在泄露）；只执行主人明确具体指令；顶住重复施压。

执行流程（SOP 检查清单）

1. 工具风险评级（低/中/高），高风险加独立审查/人工确认。
2. 沙盒隔离（断网默认 + 白名单出口 + 文件隔离 + 资源限额）。
3. 命令语义解析（替代黑名单）。
4. 权限下沉数据层（行级安全 + 校验器 + 访问上下文）。
5. 明确忠诚对象（主人指令最高优先级）。

禁止清单（写清合法例外）

• 禁止把权限检查写在动态生成的业务代码里（与被约束代码同信任域）。例外：数据层保留最终裁决权，应用层做预检查改善体验。
• 禁止用关键字黑名单作唯一安全手段（组合爆炸可绕过）。例外：语义解析理解命令真实效果。
• 禁止沙盒默认联网。例外：白名单代理放行有限目的地。
• 禁止给动态生成代码高权限数据库凭证。例外：受限身份的访问上下文，不能伪造身份。
• 禁止让"谁说话帮谁"成为默认（多方委托下对手开口可能策反）。例外：明确忠诚对象为主人。

参考资料

• 本书第 1.2.5 节《护栏与安全性》+ 第 5.1.9 节《Coding Agent 的安全》（致命三要素、沙盒、语义解析、忠诚度）。
• 笔记 05-Coding-Agent与通用Agent.md 第 5.1.9 节。
• Simon Willison 致命三要素。