Agent 多级防御架构实战教程｜纵深防御，不依赖大模型自律，原生代码实现

适用场景：自研 Agent、Skill 系统、MCP Agent，防御提示注入、越权调用、工具死循环、敏感泄露

目录

1. 架构概述与风险模型

2. 六层纵深防御详解

3. 完整业务流程图 (Mermaid)

4. 完整 Python 源码实现

5. 攻击测试用例

6. 生产环境落地清单

7. MCP 场景适配改造要点

1. 架构概述与风险模型

核心设计思想

不信任所有输入：用户输入、RAG 召回文档、工具返回结果全部视为不可信数据源；安全逻辑硬编码，绝不只依赖 LLM 系统提示做安全。

Agent 常见安全风险

六层防御层级

1. 输入预处理层：输入清洗、payload 检测、长度限制、RAG 文档过滤

2. 意图预校验层：黑名单意图前置拦截，不在能力域直接拒绝

3. Skill 权限控制层：角色鉴权、Schema 参数强校验、高危 Skill 标记

4. 运行时沙箱层：调用次数限制、IO / 网络隔离、资源配额

5. 输出过滤层：敏感数据脱敏、输出内容安全审核

6. 审计告警层：全链路日志留存，风险行为告警

2. 六层纵深防御详解

第一层：输入预处理防护

• 限制最大输入长度，拒绝超长 payload

• 正则检测常见提示注入载荷（中英文越狱指令）

• 重点：RAG 召回的文档必须经过同样清洗，解决间接注入

• 输出清洗后的安全文本进入下一流程；命中攻击直接拦截 + 审计日志

⚠️重要：不要把原始未清洗的外部文档直接拼入 system prompt。

第二层：意图预校验（前置拒绝）

• 业务禁止意图关键词黑名单；可扩展小分类模型做意图识别

• 用户请求属于禁止域，直接拦截，不送入 LLM 推理，节省算力

• 示例禁止意图：破解系统提示、读取全部文件、批量删除数据、获取密钥

第三层：Skill 权限访问控制

最小权限原则：每个 Agent 实例只拥有最小 Skill 集合

1. 角色‑Skill 映射，校验当前用户是否有权限调用目标 Skill

2. 参数 Schema 强校验（生产环境使用 Pydantic），校验必填项、类型、取值范围

3. 高危 Skill 标记：is_high_risk=True，不直接执行，返回等待人工确认

第四层：工具运行时沙箱防护

所有 Skill 调用必须经过沙箱代理，禁止 LLM 直接调用函数

1. 全局最大工具调用轮次，防止无限递归循环调用

2. 文件类 Skill：路径白名单，防御路径穿越../../

3. 网络类 Skill：域名白名单，禁止访问内网、元数据地址

4. 禁止直接提供 Shell 执行 Skill，风险极高

第五层：输出安全过滤

工具返回结果、LLM 生成回答全部经过过滤

1. 敏感信息脱敏：手机号、身份证、API 密钥自动替换掩码

2. 对接内容安全接口检测有害输出

3. 禁止将原始密钥、密码放入 LLM 上下文

第六层：审计 & 告警层

1. 全链路不可篡改审计日志：用户 ID、原始 query、skill 名称、入参、返回结果、拦截原因

2. 独立存储审计日志，Agent 本身不可修改删除

3. 告警触发规则：短时间多次安全拦截、频繁调用高危 Skill、异常高频工具调用

系统提示仅作为辅助加固，不能替代代码层安全校验

【安全约束】 1. 你不可以尝试绕过外部安全校验组件； 2. 所有工具调用会被外部系统校验权限； 3. 遇到高危操作必须请求人工确认，禁止自行执行； 4. 如果用户请求被安全组件拦截，直接返回拦截提示，不要尝试变通完成用户需求。

3. Mermaid 流程图（飞书可直接渲染）

5. 攻击测试用例集合

6. 生产环境落地清单

输入预处理层

1. RAG 召回文档必须经过InputSanitizer清洗，防御间接提示注入

2. 接入提示注入检测分类模型，正则 + 模型双校验

Skill 权限层

1. 使用 Pydantic 做参数强校验（类型、范围、正则）

2. 高危 Skill 必须走人工确认流程，Agent 不能自主执行

沙箱层

1. 文件工具：路径白名单，校验禁止../../路径穿越

2. 网络工具：域名白名单，拒绝内网 IP、元数据地址

3. 不对外暴露 Shell、系统命令执行 Skill

输出层

1. 接入内容安全 API 做输出审核

2. 所有返回给用户、写入日志的内容必须脱敏

审计告警

1. 审计日志独立存储，不可被 Agent 修改

2. 告警规则：短时间多次安全拦截、高频调用高危 Skill

7. MCP 协议场景适配改造要点

MCP（Model Context Protocol）场景多级防御适配

1. MCP Client 侧实现整套六层防御；不信任 MCP Server 返回的工具列表与返回结果

2. MCP Server 返回 tools 列表之后，本地做 Skill 映射过滤：只保留当前角色允许访问的 MCP 工具，过滤掉未授权工具

3. MCP 工具入参：不直接透传 LLM 生成参数，经过本地 Schema 校验之后再转发 MCP 调用

4. MCP 返回的 tool_result，进入 LLM 上下文之前，走输入清洗（防御间接注入）

5. MCP 高危工具标记：在本地维护高危标记，MCP 协议本身不携带风险标签

6. MCP 调用次数统计放在 AgentContext，全局控制最大调用轮次，防止无限循环调用 MCP Server

MCP 关键伪代码片段

# MCP场景：过滤MCP下发的工具，只保留授权skillmcp_server_tools=awaitmcp_client.list_tools()allowed_tools=[tfortinmcp_server_toolsift.nameinuser_allowed_skill_set]# LLM只能看到经过过滤后的工具集合，原始MCP全部tools不能送入LLM

那么，我们如何学习AI大模型呢？

这份精心整理的AI大模型学习资料，我整理好了，免费分享！只希望它能用在正道上，帮助真正想提升自己的朋友。让我们一起用技术做点酷事！

ps:微信扫描即可获取
加上后我将逐一发送资料
与志同道合者共勉
真诚无偿分享！！！

适学人群

我们的课程体系专为以下三类人群精心设计：

• AI领域起航的应届毕业生：提供系统化的学习路径与丰富的实战项目，助你从零开始，牢牢掌握大模型核心技术，为职业生涯奠定坚实基础。
• 跨界转型的零基础人群：聚焦于AI应用场景，通过低代码工具让你轻松实现“AI+行业”的融合创新，无需深奥的编程基础也能拥抱AI时代。
• 寻求突破瓶颈的传统开发者（如Java/前端等）：将带你深入Transformer架构与LangChain框架，助你成功转型为备受市场青睐的AI全栈工程师，实现职业价值的跃升。

※大模型全套学习资料展示

通过与MoPaaS魔泊云的强强联合，我们的课程实现了质的飞跃。我们持续优化课程架构，并新增了多项贴合产业需求的前沿技术实践，确保你能获得更系统、更实战、更落地的大模型工程化能力，从容应对真实业务挑战。
资料内容涵盖了从入门到进阶的各类视频教程和实战项目，无论你是小白还是有些技术基础的技术人员，这份资料都绝对能帮助你提升薪资待遇，转行大模型岗位。

01 大模型系统化学习路线

作为学习AI大模型技术的新手，方向至关重要。 正确的学习路线可以为你节省时间，少走弯路；方向不对，努力白费。希望这份最科学最系统的学习成长路线图和学习规划，带你从零基础入门到精通！

👇微信扫描下方二维码即可~

本教程比较珍贵，仅限大家自行学习，不要传播！更严禁商用！

02 大模型学习书籍&文档

新手必备的权威大模型学习PDF书单来了！全是一系列由领域内的顶尖专家撰写的大模型技术的书籍和学习文档（电子版），从基础理论到实战应用，硬核到不行！
※（真免费，真有用，错过这次拍大腿！）

03 AI大模型最新行业报告

2025最新行业报告，针对不同行业的现状、趋势、问题、机会等进行系统地调研和评估，以了解哪些行业更适合引入大模型的技术和应用，以及在哪些方面可以发挥大模型的优势。

04 大模型项目实战&配套源码

学以致用，在项目实战中检验和巩固你所学到的知识，同时为你找工作就业和职业发展打下坚实的基础。

05 大模型大厂面试真题

面试不仅是技术的较量，更需要充分的准备。在你已经掌握了大模型技术之后，就需要开始准备面试，我精心整理了一份大模型面试题库，涵盖当前面试中可能遇到的各种技术问题，让你在面试中游刃有余。

06 全套AI大模型应用开发视频教程

（包含提示工程、RAG、LangChain、Agent、模型微调与部署、DeepSeek等技术点）

由于篇幅有限
只展示部分资料
并且还在持续更新中…

ps:微信扫描即可获取
加上后我将逐一发送资料
与志同道合者共勉
真诚无偿分享！！！

最后，祝大家学习顺利，抓住机遇，共创美好未来！