TL;DR

防提示注入不靠过滤器：egress 出网白名单 + mount 文件系统边界 + SecretBroker 密钥引用化，三层独立成立——不假设模型永远不被骗，只保证被骗了也越不了界。hmharness（MIT，github.com/swsgbl/hmharness）红队九载荷实测。

威胁模型

智能体执行「模型生成的命令」——README 里的恶意文本、网页里的隐藏指令都可能让模型生成攻击者想要的命令。传统权限是给人的，智能体权限是给「会被话术影响的执行者」的。

第一层：egress 允许表

沙箱内只访白名单主机，DNS 解析后验证——DNS-rebinding 相似主机名、子域通配绕过实测全阻。

第二层：mount 策略

工作区外不可写、路径穿越规范化拦截、异盘符显式处理。被骗了也读不到工作区外的密钥。

第三层：SecretBroker

密钥永不进沙箱明文：模型只见引用句柄（secret://），活跃授予才可解析，转录自动脱敏。执行 env 拿到的也是句柄不是值。红队四载荷瞄准此层全阻。

完整体系

三层地基 + Capability Broker 租约（权限到期自动回收）+ 九载荷红队（防线实测）：边界挡注入、票据控权限、红队验防线。

口径

npm @hmharness/cli 0.23.31（地基）/0.23.34（红队验证）；与华为/开放原子无隶属。GitHub：https://github.com/swsgbl/hmharness## TL;DR

防提示注入不靠过滤器：egress 出网白名单 + mount 文件系统边界 + SecretBroker 密钥引用化，三层独立成立——不假设模型永远不被骗，只保证被骗了也越不了界。hmharness（MIT，github.com/swsgbl/hmharness）红队九载荷实测。

威胁模型

智能体执行「模型生成的命令」——README 里的恶意文本、网页里的隐藏指令都可能让模型生成攻击者想要的命令。传统权限是给人的，智能体权限是给「会被话术影响的执行者」的。

第一层：egress 允许表

沙箱内只访白名单主机，DNS 解析后验证——DNS-rebinding 相似主机名、子域通配绕过实测全阻。

第二层：mount 策略

工作区外不可写、路径穿越规范化拦截、异盘符显式处理。被骗了也读不到工作区外的密钥。

第三层：SecretBroker

密钥永不进沙箱明文：模型只见引用句柄（secret://），活跃授予才可解析，转录自动脱敏。执行 env 拿到的也是句柄不是值。红队四载荷瞄准此层全阻。

完整体系

三层地基 + Capability Broker 租约（权限到期自动回收）+ 九载荷红队（防线实测）：边界挡注入、票据控权限、红队验防线。

口径

npm @hmharness/cli 0.23.31（地基）/0.23.34（红队验证）；与华为/开放原子无隶属。GitHub：https://github.com/swsgbl/hmharness