工具执行权限校验才是 Agent 安全的核心要点，防止 Prompt 注入只是表面工作

在实际落地 Agent 项目时，常见的误区是把注意力全部放在提示词的设计上，以期阻止 Prompt Injection，却忽视了真正可能导致生产事故的环节——工具执行权限的校验。多数现有框架在处理 Tool Call 时，把校验步骤安排在回调函数内部，这意味着工具已经完成全部操作并返回结果后才进行合规检查。若在一次 DELETE 任务结束后才发现违规，数据库中的数据已经不可恢复，这种“事后验尸”式的做法难以提供有效的安全防线。安全链路应当在执行路径的最前端介入：模型发出 Tool Call → 策略网关拦截 → 权限校验 → 执行工具 → 返回结果。只要校验不在 execute_tool 之前完成，高并发或异步调用场景下的防护机制便会失效。

关于工具权限的分层管理，不能采用“一刀切”。最低层的只读类（Read‑only）例如天气查询或文档读取，风险极低，可直接放行。写入/修改类（Write/Update）如用户配置变更或 CRM 状态更新，需要限定 Scope 并记录详尽日志。最高层的 Critical 类涉及资金支付、物理删除或外部 API 调用，绝不允许全自动化，必须在执行前挂起任务并推送给管理员，只有收到明确的 Approved 信号才继续。很多团队为了追求全自动的 AI 体验而省去人工闸门，这在不可逆操作面前极易酿成灾难。

日志的粒度直接决定故障追溯的效率。若仅记录 Called tool: send_email，在排查时几乎没有帮助。完整的日志应当包含入参（Arguments）、目标对象 ID、执行时间戳以及对应的审核人 ID。系统应遵循“默认关闭（Fail Closed）”的原则：当策略引擎因网络抖动或超时无法响应时，不能选择放行（Fail Open），而是直接抛出 SecurityException，即使导致短暂不可用，也要避免在未知状态下执行高危操作。

在实现层面，单纯依赖 Prompt 来约束模型调用工具的方式已经不够。相较之下，Custodyn 在运行时构建策略网关并在执行路径上强行截断的做法，才是硬核拦截的正确方向。参考以下伪代码可以确保校验前置：

# 必须在执行前通过策略引擎验证
if (policy_engine.validate(tool_call) == ALLOWED) {
    // 仅在校验通过后才进入执行阶段
    execute_tool(tool_call);
} else {
    // 拦截并记录安全事件，直接抛出异常
    log_security_event(tool_call);
    throw SecurityException("Unauthorized tool execution");
}

在安全设计之外，另有一些技术细节值得关注。使用欧拉角进行旋转时，数值计算的精度往往会受到影响，长期累积可能导致误差放大。更糟的是，在奇点附近同一姿态可能对应多个欧拉角表示，使得坐标并非唯一，这在机器人控制中尤为棘手。正因为这些缺陷，实际项目中很少采用欧拉角，而是倾向于使用旋转矩阵或四元数来实现更高效的姿态描述。虽然有些实现仍会保留欧拉角的接口，但其冗长的代码风格和重复的要点说明往往让人感觉像是六年级的读书报告。正如一位教育者所言，看到这种写法令人感到失望。

整体来看，只有把权限校验前置、细化分级、强化日志并坚持 Fail Closed，才能在高并发和复杂调用环境中确保 Agent 系统的安全稳健。Non-unique