腾讯云WorkBuddy企业版安全白皮书解读

这个月的 AI 办公平台选型会，安全评审那一项多半会有人问：提示词注入怎么防。方案商答案很统一，系统提示加约束、输入过滤、输出审核、再接一家内容安全服务。

腾讯云 WorkBuddy 产品团队出品、十月底第一版的《WorkBuddy企业版安全白皮书》，第 6 章把这道题的前提换掉了：硬性控制放在「模型输出之后、真正执行之前」，不论模型被什么话术说服，越界操作都在执行那一刻被拦下。

两个答案差的不是技术，是控制点。你问模型防不防得住，它答防不住时还剩几道闸。

01 Agent 的风险里，只有一类能靠模型自己解决

传统 AI 应用的风险集中在说错话，Agent 把风险挪到了做错事，删错文件、执行危险命令、把凭据带出企业边界。破坏半径从一段文本变成一台终端加一批业务系统，多数操作回不去。

白皮书把失控来源切成三类：模型幻觉与误判、外部攻击、供应链。外部攻击是网页、文档、邮件里藏着的一段指令，或者多轮越狱话术；供应链是投毒的技能、有漏洞的 MCP 服务。三类里只有第一类的输入在模型手里，后两类是别人递过来的。其实它自己那张对照表也承认，Agent 每一步由模型动态生成，规则无法完全覆盖。

02 四层控制全在执行之前，它假设模型那层已经输了

四层控制分别落在权限模式、七组安全中心配置、允许与询问与拒绝三态规则，和系统层的高危操作拦截上。

细节给得很实。8 类敏感路径默认受保护，SSH 密钥和云平台凭据在里头；预设文件规则 106 条，按读、写、删分别配置，读一次 ~/.ssh 就弹询问。rm -rf 和 sudo 默认前置询问，高危程序黑名单对子进程同样生效。拦的是行为，不是命令字符串。

内容侧那三道防线解决的是让模型不说错，但是到了执行那一步，靠的是另一套东西。绕过审核的手法再多，绕过的也只是审核，不是沙箱。企业策略在客户端是底线，员工只能往上叠加，手改本地文件会被拉回去。

03 评审会上换四个问法，上线先配三样东西

问法一换，方案的成色立刻分得出来。问「能不能防住注入」，所有人都会答能；问「注入成功之后它最多能碰什么」，答不上来的，就是没做过这层设计。

评审会上问这四句
可写目录	它最多能写哪些目录？这份清单能不能由管理端统一下发，员工能不能自己改？
拒绝清单	允许、询问、拒绝三态里，拒绝那一栏有没有真配东西？只配前两态等于没设防。
回滚粒度	删错了能退到哪一步？是每一轮改动前都备份，还是一个任务只在开头备一次。
拦截记录	拦下的和放行的在不在一份记录里？拦截原因能不能读、记录能不能导出。
上线前先配这三样
收窄写边界	可写目录收到工作目录，敏感路径加进保护清单。误删的最大影响范围由这一步决定。
高危进拒绝	删除、改权限、装东西这类命令别图省事全放允许，先设成询问，跑顺了再逐条放开。
凭据强制加密	把密钥、凭据类设成强制加密或拒绝。资料里写了一个坑，员工在弹窗选「允许放行」后，明文进上下文，事后撤不回。