别再用 Prompt 祈祷 Agent 别删库了，试试用 Enclave 构建硬隔离运行环境

很多开发者在写 AI Agent 时都会陷入一个误区：把所有精力都花在优化 Prompt 上，试图通过指令让 AI “乖乖听话”。但实际部署到生产环境后你会发现，无论 Prompt 写得多么完美，只要 Agent 拥有执行代码或操作文件的权限，由于 Prompt 注入（Prompt Injection）的存在，它随时可能变成一个删库脚本。而且最让人头疼的是，一旦 Agent 陷入逻辑死循环，一个晚上就能把公司几千美金的 API 额度给烧光。

最近我在研究 Enclave 这个开源项目，它给我的感觉不是在教你如何写 Agent，而是在为你提供一个安全的“笼子”。简单来说，它是一个专门为自主 Agent 设计的 Runtime（运行时）。它不关心你的业务逻辑，只关心 Agent 在运行过程中如何被限制，以及如何高效地消耗 Token。

如果你想快速尝试，这个项目采用的是 Apache-2.0 协议，部署路径非常简单。直接通过 Git 克隆仓库，进入目录后运行 ./bin/enclave init 按照向导配置模型凭据，最后执行 ./bin/enclave run 即可。启动后，本地 8888 端口会直接开启浏览器聊天界面。

在深入分析其技术细节后，我认为 Enclave 最核心的价值在于它实现了“硬核隔离”。很多框架所谓的安全只是在 Prompt 里加一句“请不要执行危险操作”，而 Enclave 是直接在内核层面做限制。它在启动容器时使用了 --cap-drop=ALL 和 --security-opt=no-new-privileges 这两个关键参数。这意味着即便 Agent 被注入了恶意指令试图通过 Shell 提升权限，由于它在内核层就被剥夺了大部分 Capability，它根本无法获取磁盘上的其他敏感权限。这种从基础设施层面做减法的方案，比在应用层做加法要靠谱得多。

除了安全，Enclave 解决的另一个痛点是成本治理。在规模化部署 Agent 时，如果所有任务都走 GPT-4o 或 Claude 3.5 Sonnet，成本压力极大。Enclave 引入了一套路由分层机制，只要在配置中开启 ROUTER=on，它就能将机械性的心跳任务或简单处理分发给廉价模型，只有在涉及关键决策时才调用顶级模型。

更精妙的是它的“管理-执行”模式。当你使用 Claude 等模型时，Enclave 强制要求 Manager 角色负责规划，Worker 角色负责执行。这样可以有效避免用最昂贵的 Token 去重复编写样板代码，因为规划层只输出指令，执行层才处理具体细节。同时，它通过 BRAIN 环境变量实现了模型层面的无缝切换，即便你在 OpenAI 兼容接口和本地模型之间跳转，Agent 的记忆状态依然能够保留，这在实际的测试迭代中非常高效。

对于准备在公司内部落地 Agent 工作流的工程师，我建议不要只看 Demo，重点去研究一下 platform/agentd/hooks/guard.py 这个文件。这里实现了 PreToolUse 拦截机制，在 AI 调用工具之前会先经过一层拦截校验。这种在工具调用前置阶段进行拦截的逻辑，才是真正能把 Agent 关在“笼子”里的实战方案。