Agent 输入信任边界图

要解决什么问题

多源输入（用户消息、检索结果、MCP/tool 输出、memory handoff）在 Agent 里往往经过解析、摘要和 context 拼接，再带着不同的 instruction role 进入运行时，最终可能落到草稿、外发或执行类 Sink。评审或对齐控制时，常见缺口不是「有没有 guardrail」，而是：这条内容从哪来、经过哪些转换、以什么角色进了哪个 slot、跨了哪些 Zone、运行身份能看到什么能力、结构上能否到达哪些副作用目标——以及控制与测试证据绑到哪条边、哪条 path，而不是笼统说「已认证」或「测试通过」。

本技能把用户提供的架构摘要、Source/Artifact、Node、Context Binding、Runtime、Capability、Sink、Edge 以及 control/test 材料，整理成带来源定位的静态输入信任边界图，逐边回答上述问题。

如何工作

工作流围绕十一类对象（Trust Zone、Input Source、Artifact、Transform Node、Context Binding、Runtime、Capability、Sink、Edge、Control、Test/Observation）登记稳定 ID，并只按证据建立关系（如 flows-to、bound-to-context、crosses-zone、governed-by），推荐路径为 Source → Artifact → Transform → Context Binding → Runtime → Capability → Sink。

Trust 按多轴分列记录（来源、provenance、数据分类、instruction role、transform 与 metadata retention、权限与 Sink 可达性、control/test），不合成单一 trust score。路径状态区分 design-visible、runtime-observed、test-covered，避免把相邻 trace 写成因果或漏洞结论。最后按模板给出材料质量、缺口与「可提交复核 / 补证后提交 / 材料不足」类结论。

边界与注意

• 适合：梳理输入到 context/Sink 的结构路径，对齐 role、provenance、权限与控制/测试挂接点。
• 不适合：guardrail 扫描、红队、完整 run trace 替代、MCP 全量盘点、控制有效性裁决、prompt injection 检测或生成攻击 payload。
• 材料缺项时会降级登记（例如仅有架构图不推出实际权限；仅有 trace 不反推全架构），且不连接网络、Connector、Agent、日志或完整 Prompt 正文。