Day 146 · Agent 供应链安全:恶意 MCP server、工具定义被改与恶意 Skills
第三方 MCP server、skill、插件本身就可能是攻击者。复盘 2025–2026 年几起真实事件,用一个「升级后工具描述被悄悄改了」的汇率 server 实测:DeepSeek 5 次里 5 次照着描述把客户邮箱和发票号塞进了参数。然后写一个给工具定义做指纹、发现被改就拒绝调用的 MCP 客户端,加上接入前扫描、环境变量白名单和 OWASP Agentic Top 10 对照。
Day 103 · AgentOps(七):安全加固与红队回归
SupportPilot 是一个 Agent 被攻击,AgentOps 是多个租户共用网关、工具中心和运行时,多出来的攻击面是跨租户越权、工具定义被偷换、刷钱和审计被改。今天先用确定性测试把隔离钉死,再给工具中心加指纹、给审计加哈希链、给网关加按钱熔断,最后把 promptfoo 红队接进夜间 CI,做一次事故演练。
Day 72 · 自动化红队:用 Agent 攻击 Agent
Day 39 和 Day 53 我们手写过一批注入用例。手写的用例几十条就到头了,攻击者却有无穷多种说法。今天把红队变成一条流水线:种子攻击 × 变形策略 × 投放位置自动组合出用例,只看「实际发生了什么」的检测器判定成败,攻击成功率带区间汇报,打穿的用例自动进回归集;再写一个会根据失败改写攻击的自适应攻击者,最后看 promptfoo、garak、PyRIT 怎么接进来。
Day 53 · 安全加固与上线:注入测试、权限、Docker 部署
SupportPilot 第一次上公网之前,先当一回攻击者:写一套注入测试集,看它会不会泄露别的客户的账单、会不会绕过审批退款。修好之后用 Docker Compose 把服务、数据库、前端和 HTTPS 一起部署到云服务器,再加上限流、每日预算和演示账号,别让 demo 把你的 API 余额刷光。
Day 40 · 安全(二):最小权限、沙箱、人工确认与数据脱敏
给工单 Agent 的每个工具定权限等级,让权限检查发生在代码里而不是 prompt 里;数据库账号也按最小权限拆开;Agent 需要跑代码时放进断网、限资源的沙箱;手机号、身份证号在进模型之前替换成占位符;每次敏感操作写进只能追加的审计表。最后对照 OWASP LLM Top 10 做一次自查。
Day 39 · 安全(一):prompt injection 怎么打、怎么防
亲手攻击自己的工单 Agent:在工单正文、客户昵称、知识库文章里埋指令,看它会不会乱退款、泄露别人的数据、把信息往外送。然后用「致命三要素」找出真正的风险点,一层层加防御,最后把这些攻击写成测试用例接进 CI。