个人Agent的安全设计与权限隔离
个人 Agent 同时握有高优私人数据、不可信外部输入和对外执行权，模型层对齐只能抬高门槛，安全底线必须靠读写分离、污点追踪、通道隔离和写入权限控制。
要点
- 模型层靠指令层级和思考过程自检提高攻击门槛，但注意力机制没有代码段与数据段隔离，仍会概率性破防。
- 间接注入防御采用双 LLM：有工具权的主 Agent 不读外部原文，隔离子 Agent 只按受限 Schema 提取字段返回。
- 网关层做污点标记，上下文混入不可信数据时锁死对外发信、转账、删文件等高危写操作，或降级为人工确认。
- 按触发源身份与会话通道裁剪工具集和记忆视图，群聊等公开通道直接摘掉私人数据检索工具。
- 长期记忆写入和定时任务注册只允许主人直接发起的受信任会话触发，防止持久化投毒与后门潜伏。
- 第三方 Skill 与 MCP 当不可信代码审计，配合凭证代填和网络出站白名单，指令层被绕过也发不出数据。