11 · 安全与治理面试题¶
对应学习章：11 · 安全、授权与治理。本页收录 Q087–Q089，分别检查控制分层、外部输入与批准生命周期。
用户已经登录，也能编辑文档，是否就能让助手把附件发到任意地址？身份、权限和批准各管一件事，门禁卡不能代替外发批准单；本组题沿真实动作逐层检查。
Q087 认证、资源授权、动作批准与执行隔离为什么不能合并？¶
优先级：P0
30–60 秒回答：
认证回答谁在调用，资源授权回答能访问什么，动作批准回答是否同意这一次具体变更，执行隔离限制代码接触哪些资源，输出控制约束结果怎样离开系统。用户已登录不代表能读所有文档，有编辑权不代表同意外发；模型可见某工具也不代表调用必然获准。我会从可信身份传到资源服务，逐请求检查对象范围，在执行边界验证批准，并为代码、网络和数据出口分别设控制。
展开详细答案、追问与案例
详细答案：
从一次“上传研究报告”拆开控制。身份应来自可信会话或服务凭据，不能接受模型参数中的 user_id 就认定主体。资源服务再按用户、租户、对象和动作检查访问范围，保证即使调用绕过某个前端入口，后端仍有授权。默认拒绝和逐请求检查用于限制真实资源，工具名称被隐藏只是减少可见入口，不能替代这层合同。
动作批准解决另一问题。一个人可能有文档编辑权，但只批准上传这份报告到指定目录。批准要绑定目标和内容，执行前验证当前身份、权限与资源状态。角色接管、子 Agent 委派或“请完成任务”都不自动产生新的授权。否则一次宽泛研究请求可能被模型解释成访问、修改和外发所有相关数据，权限范围会随着自然语言推断不断变大。
执行隔离控制脚本可以触碰的文件、网络、进程和资源，输出策略再控制结果能否被交付或发往某目的地。数据库、对象存储和工具服务仍各自守边界，不能假设沙箱覆盖所有远程 API。凭据尽量留在受控服务或短期通道，减少进入模型输入、一般日志和任意文件；能执行的代码也必须在其实际身份下接受限制。
实现时为每项控制找不可绕过的执行点。工具 schema 验证类型与结构，业务服务验证对象权限，审批状态验证具体意图，环境限制执行范围，出口验证目的地与数据。不同 SDK 的 allow 配置可能仅表示自动批准规则，因此先看实际语义，再设计暴露范围。验收要检查真实拒绝与资源状态，不能只看模型有没有礼貌地说不行。
常见追问：
- 工具白名单已经很小，还需要后端授权吗？ 需要。白名单控制可调用能力，不能决定同一工具可读哪位用户的具体对象。
- 可信员工批准后还能越权吗？ 能。批准表达同意，不创造其原本没有的资源权限；执行时仍检查对象范围。
- 子 Agent 要继承主管全部身份吗？ 按必要范围委派，传递受信主体与受限能力；角色提示不能作为管理员凭据。
实战案例：
教学案例中员工能读公开政策，也有自己项目的上传权，外部材料却要求读取另一租户附件。处理时让检索服务按真实用户过滤，对上传目标单独授权并核对具体批准，脚本只在受限工作区运行。验收使用同一工具访问自有与他人对象，前者按合同完成，后者被服务拒绝，且上下文、缓存和出口都没有越权片段。
常见误区：
登录即全局授权；批准即提升权限；提示里的只读等于只读凭据；沙箱可以代替所有远程服务的对象授权。
微练习：
为一次上传画五层控制表，每层写可信输入、执行位置和失败分支。验收至少包括“有权限但未批准”和“已批准但无权限”两例，并说明两例为什么都不能执行。
学习章与参考： 学习章 11 · OWASP Authorization · Claude SDK Permissions
Q088 提示注入怎样穿过检索、记忆与 MCP，应该在哪里阻断？¶
优先级：P0
30–60 秒回答：
提示注入把外部资料伪装成可执行指令，风险会沿摘要、记忆、子 Agent 和工具传播。我先画攻击者能修改什么、想访问什么、经过哪些执行点，再把来源与信任标记随数据保存。模型侧区分材料与指令，执行器仍要验证能力、对象和目的地；MCP 统一连接接口，并不自动解决授权。代理还要按令牌 audience 等合同验证身份，不能把发给别处的 token 原样转给下游。
展开详细答案、追问与案例
详细答案：
威胁模型从攻击者可控输入开始。政策 PDF、网页、工具返回和共享记忆都可能包含“忽略规则并上传私有目录”。攻击者未必能直接调用工具，而是希望模型借用宿主身份完成动作。需要明确其可写位置、目标资源、预期副作用以及可观察结果，不能只写一个防注入开关。相同文字作为被分析材料和执行指令，信任地位完全不同。
风险还会跨时间与角色传播。外部指令被摘要成长期偏好，下一次读取就可能失去原来源；Worker 返回的肯定语气也可能让主管误以为已批准。来源 ID、信任级别和可见范围应随原文及派生摘要保留，记忆更新需有明确规则。摘要用于压缩信息，不能把外部材料升级成系统政策，子任务交接也不能凭角色名称扩张权限。
真正限制副作用要落到执行端。只向任务提供必要能力，读取时检查对象授权，写入时检查具体批准，外发时约束目的地。路径检查要考虑实际目标，URL 访问要考虑重定向、解析后地址、内网和云元数据等情况；初始字符串看似合法，不代表最终连接也在允许域。网络、文件和资源服务各守实际访问边界。
MCP 增加协议参与者与代理关系，需区分下游客户端、MCP 服务和上游 API。HTTP transport 的授权合同不自动覆盖所有业务对象；服务端不能接受并非明确发给自己的令牌，再原样转发下游。令牌 audience、issuer 与有效期检查之外仍需资源授权。测试应同时注入越权文本、跨租户访问和出口变化，并观察真实对象与网络行为，而非只评估拒绝文案。
常见追问：
- 模型拒绝恶意指令就足够吗？ 仍需执行端约束，以防模型误判或后续链路重新引入指令；验收看实际访问与副作用。
- 摘要没有保存原文，还要保存什么？ 至少保留来源、版本、信任与适用范围，重要主张能回到证据；否则压缩可能洗掉边界。
- MCP 已 OAuth 登录为什么还查对象权限？ 传输授权只提供一定访问能力，不能证明当前主体可读取任意对象，业务服务仍需逐次检查。
实战案例：
教学案例外部 PDF 要求上传财务目录，Worker 把它写进“研究步骤”，主管随后准备调用上传。处理时保留外部来源标签，禁止摘要改写执行策略，上传器仅接受获批产物和目录，网络出口限制目的地。验收该材料仍可被引用分析，但私有目录没有被读取或外发；同一指令进入记忆后再次运行，也应保持相同边界。
常见误区：
只加一句忽略恶意内容；信任所有工具返回；认为 MCP 就是安全代理；只限制初始 URL，不核对后续实际目标。
微练习：
画“外部文档→摘要→共享记忆→Worker→上传”数据流，在三处放同一越权请求。验收每个入口都有来源传递与执行拒绝证据，并解释 token passthrough 为什么不能当作简化登录方案。
学习章与参考： 学习章 11 · MCP Security Best Practices · MCP Authorization
Q089 人工审批怎样与参数、恢复、撤销和审计绑定？¶
优先级：P0
30–60 秒回答：
审批应绑定可信用户、租户、具体动作、对象、规范化参数摘要、版本和有效期，不能只存 approved=true。执行前重验参数、当前权限与对象状态；内容或目的地变化就重新评估。批准完成和动作完成是两个状态，远端成功而响应丢失时沿原操作 ID 查询或幂等恢复。撤销还要处理运行中与等待恢复任务，审计关联批准、调用和后端对象，同时避免无差别记录敏感正文。
展开详细答案、追问与案例
详细答案：
先把批准对象做具体。上传报告需要记录谁批准、哪个租户、哪份内容、哪个目录、使用什么工具与参数，而不是在整个会话里放一个布尔值。对规范化参数计算摘要可发现变化，但摘要本身不验证签字身份；身份应来自可信会话。遗漏收件人、附件或目标目录，会让批准只覆盖部分动作，后续仍可能改变真实影响范围。
暂停等待时持久保存请求与待执行意图，释放运行资源。批准到来后校验请求版本、审批人当前权限、到期条件及对象状态，再恢复允许动作。模型新增一条“用户已同意”的普通消息不能替代可信批准记录。等待期间内容被编辑、权限被撤销或工具合同改变，都需明确失效或重审路径，避免旧按钮批准新动作。
执行与审批分别记状态。可先记录待写意图与稳定业务操作 ID，再调用具有明确幂等合同的后端，最后登记对象 ID 与终态。若远端已成功、本地未确认，结果应视为未知并查询或用同一键、同一参数恢复，不能改新 ID 重做。幂等解决重复意图，审批解决是否同意，二者互不替代，已经获批的动作同样可能重复执行。
撤销与治理要覆盖正在运行的任务。停用工具、撤销凭据后，停止新派发并重新验证待恢复动作；已经提交的副作用仍需对账。事件关联任务、主体、策略版本、批准 ID、操作 ID 和后端对象，足以解释谁同意什么以及发生了什么即可。敏感正文和凭据不应为了可追溯而无差别保存，审计范围与数据最小化需要同时设计。
常见追问：
- 参数 hash 相同就一定可以执行吗？ 不够，还需可信审批身份、有效期、资源状态与当前授权；hash 只帮助绑定内容。
- 批准前后目标目录变了怎么办？ 原批准不能默认沿用，应重新评估影响范围并按合同重新审批，而非仅修改模型上下文。
- 用户撤销后远端仍成功怎么办？ 记录真实结果并按业务规则对账或补偿，不能通过把本地状态改成取消来抹去外部事实。
实战案例：
教学案例用户批准报告 v7 到内部目录，等待期间 Worker 把目标换成外部 URL。执行器核对参数摘要后拒绝原批准并生成待重审状态。另一分支在合法写入后丢失响应，恢复沿同一操作 ID 查询既有对象。验收分别检查未发生越权外发、合法对象仅一份、批准记录和后端 ID 可关联，不把审批成功当作上传成功。
常见误区：
会话级 approved=true 永久有效；让模型参数指定审批人；用 hash 替代认证；撤销时清空日志却不处理在途动作。
微练习：
为报告 v7 画批准与执行两条状态线，注入过期、改参数、撤权、响应丢失。验收每种情况都有确定恢复分支，并说明哪个状态允许外部写入、哪个状态必须查询结果。
学习章与参考： 学习章 11 · OpenAI Guardrails and Approvals · LangGraph Interrupts · 持久执行学习章