當心 AI 代理成為系統後門：權限設計的血淚教訓

• 作者在開發運維 AI 代理時，原以為僅賦予開啟 Pull Request 的權限相當安全，卻忽略了 API 呼叫使用的是機器人 Token，導致唯讀權限的使用者也能透過代理越權操作。 • Prompt 無法取代真正的授權機制，大語言模型並不了解使用者的實際權限，且容易遭受提示詞注入攻擊。 • 使用者的身分絕對不能由模型自行填入作為工具參數，必須從 Slack 或 SSO 等驗證 session 中預先設定。 • 採取「預設拒絕」的安全原則，當 GitHub 等外部服務發生超時或錯誤時，代理應直接終止執行而不是繼續動作。 • > 每次執行寫入操作前，必須向系統驗證請求者的真實權限，確認允許後方可執行，否則應立即停止並說明原因。 • 確保 AI 代理具備獨立且嚴格的身分驗證邊界，是防止代理成為內部漏洞與資安後門的關鍵所在。