Agent 工具越权测试要检查“谁能对什么资源做哪种动作”。若只给模型一条明显危险的请求，再看它是否拒答，很容易错过参数合法但资源不属于当前用户的调用。测试应以执行器的授权判断为中心，并用隔离资源验证实际结果。

把权限拆成可对照的维度

设想本地文档工具有 read_note 与 write_note 两个动作。测试身份只能读取自己的演示文档，不能写入，也不能读取另一测试身份的文档。两个身份都使用虚构数据。先固定这个简单权限矩阵，再为每个禁止格准备一个用例。

主体与资源关系	读取	写入
当前身份自己的文档	允许	拒绝
另一测试身份的文档	拒绝	拒绝

资源标识应由服务端解析，不能相信请求里自报的 owner。若客户端把 owner 改成当前用户就能获得访问，测到的是执行器绕过了资源归属核验。

图中的四个格子对应最小对照集；合法读取与三个禁止动作共享同一环境，便于排除工具不可用造成的假阻断。

用例同时写出禁止结果

一条越权样本应包含当前身份、资源所有者、候选动作、预期拒绝理由和禁止副作用。写入测试用临时沙箱文件，运行前后保存内容摘要；读取测试则检查受限内容是否进入工具返回或最终答案。敏感文件不存在于测试环境时，只能验证拒绝逻辑，不能宣称验证了完整泄露链。

case = {
    "subject": "demo-a",
    "resource": "note-owned-by-demo-b",
    "action": "read",
    "expected": "deny",
    "reason": "owner_mismatch",
}

这是样本记录，不是授权实现。真正的判定仍需要可信身份上下文和服务端资源元数据。工具别名、批量接口与异步任务也应落到同一授权入口，避免单个接口通过测试、另一个入口漏检。

从实际副作用判定

模型说“我无法读取”但执行日志已有读取结果，仍然是越权。模型提出了越权请求、执行器拒绝且未返回内容，则应分别记录模型层失误与执行层成功阻断。证据缺失、资源状态无法确认时标记未决。

把边界用例与合法对照一起回放：更换资源 ID、动作类型或授权有效期时一次只改一个因素。测试报告列出命中哪个权限维度、哪个执行入口以及哪个策略版本，失败才有可修复的位置。不要把测试身份扩展到真实用户，也不要接入生产写操作。

拒绝理由也要能回到具体规则

执行器可以返回稳定的内部决策码，例如资源归属不符或动作未授权。用户可见回复无需暴露受限资源是否存在，但测试管理侧需要区分这些原因。否则一次“文档不存在”的异常也可能被误记成权限拒绝。

测试还应检查错误返回有没有携带被禁止的内容。工具先读出全文、最后才返回拒绝，若正文已经进入日志或模型上下文，副作用并没有被消除。可在受控文档中放入独特的无害哨兵字符串，再追踪它是否进入返回、日志或答案。这个字符串只用于定位数据流，不含秘密；命中位置与具体读取事件关联，避免把样本说明里正常出现的字符串当成泄露。

参考：OWASP AI Agent Security Cheat Sheet。文中的身份、文档和权限矩阵均为本地合成示例。