安全與權限 · 實作指南
發票不能授權你的 AI 代理執行操作
將資料解讀與執行權限分開，限制提示注入可造成的影響。
文件提供證據，不提供權限
假設應付帳款流程收到一張發票，內文要求助手更改付款資料。關鍵不只是模型能否認出這句話有問題，而是任何發票是否本來就能授權這種操作。建議把外部文件定位為候選事實的來源，真正權限則由可信業務規則與獲授權人員決定。即使內容看似出自熟悉客戶，亦不能自動把文內要求升級成系統指令或批准。
把邊界放在執行程式裡
擷取元件只需輸出發票欄位，不應同時擁有修改銀行資料的工具。另一個執行元件才接受列入白名單的操作，驗證參數和目前使用者權限。提示格式有助表達任務，但不能當作強制邊界。OWASP 提示注入資料提供風險背景；本文提出的元件拆分，是限制一次錯誤理解能觸及多少能力。若業務不能接受剩餘風險，就不應把該決策交給模型。
流程一覽
測試間接進入的指令
測試資料應包括附件、檢索知識、電子郵件對話和工具結果，而不只在聊天框輸入攻擊句。可放入看似合理但未授權的要求，用記錄式替身工具代替真實副作用，檢查它確實未被執行。也要加入含刪除、帳戶等正常詞語的無害文件，避免防線只靠關鍵字便把工作全部攔住。測試目標應是越權行為是否被阻止，而不是模型是否回答得有警覺性。
人工審核要具體而知情
重要變更的審核畫面要顯示確切對象、修改欄位和文件證據，不能只放批准代理繼續的籠統按鈕。被拒操作及來源通道可留下紀錄，但不需要把整份敏感文件寫入日誌。少量測試不會證明提示注入已解決；有用的結論是：對這個具體流程，權限、工具邊界和審核能否縮小後果，以及哪些操作仍必須保留人工處理。
把測試目標寫得具體
每項注入測試先寫出禁止結果，例如更改帳戶、匯出文件或寄出訊息。模型說拒絕並不足夠，若工具仍執行就算失敗。保留觀察到的工具呼叫結果，使用假目的地和假資料，讓反覆測試不會產生真實外洩。再記錄哪些控制阻止了後果，方便下次更換模型或工具時檢查同一邊界，而不是只比較回答語氣。
來源與延伸閱讀
編輯原則
本系列以 AI 輔助原創撰寫，並對照連結的公開來源。實作建議與假設情境屬編輯分析，並非客戶實績。來源發布日期及產品細節可能與本系列整理日期不同。