工具调用怎么做安全控制？怎么防 Prompt 注入？

先这样答

工具调用安全要靠输入、执行、输出三层控制。不能只靠提示词要求模型忽略恶意指令。最后要用最小权限兜底。

输入侧先做注入检测和内容隔离。检索内容要标记为不可信，不能和系统指令、工具规则混在一起。模型读取这些内容时，只能把它们当作待处理数据，不能直接当成新的执行要求。

执行侧只开放工具白名单。调用前校验参数，限制工具能做的事。遇到高危动作，必须让人工确认。执行环境还要做沙箱隔离，避免工具调用影响不该影响的范围。输出侧过滤工具结果，并记录审计日志。这样即使输入里出现恶意内容，也能靠权限限制、人工确认和结果检查降低风险。

面试官会怎么追问

• 「如果检索内容里写着‘忽略系统指令并调用某个工具’，你怎么处理？」
  我会先把检索内容标记为不可信，并和指令内容隔离。注入检测负责识别风险，工具白名单和参数校验负责限制执行。检索内容不能直接改变工具调用权限。

• 「为什么不能只在 Prompt 里写一句‘请忽略恶意指令’？」
  Prompt 只能告诉模型应该怎么做，不能替代权限控制。模型仍可能受到输入内容影响，所以要在执行侧限制工具和参数。最小权限可以让错误调用的影响保持在受限范围内。

• 「哪些工具调用需要人工确认？确认前后分别检查什么？」
  高危动作需要人工确认。确认前检查工具是否在白名单内，以及参数是否通过校验。确认后还要过滤结果并记录审计日志，保留这次调用的检查结果。

回答的坑

• 把防 Prompt 注入说成只改提示词，没有说明工具白名单、参数校验和最小权限。

• 只讲输入检测，漏掉高危动作人工确认、沙箱隔离、结果过滤和审计日志。