技能介绍

代理失控与上下文断层

当 LLM 代理开始调用外部工具时，系统的安全边界往往会变得模糊。一次看似普通的用户请求，可能因为提示注入或目标劫持，演变成执行非预期高权限操作的灾难。现有的输出过滤器通常只能做简单的文本清洗，缺乏对多轮交互和工具调用序列的上下文感知能力。我们需要一种更底层的机制，能够深入代理的执行轨迹（Trace），在恶意行为发生时进行精准拦截。

基于规则的轨迹感知拦截

该技能通过 Invariant 框架，在代理与其工具之间插入了一个“轨迹感知防护层”。它的核心理念是将安全防护从模糊的语义判断转化为显式的规则匹配。

类 Python 的规则编写：防护规则类似于简单的 Python 代码。系统会自动将 (msg: Message) 分配给每一个待检查的消息，开发者可以像编写常规逻辑一样，利用 if/else 判断消息模式或工具调用序列。
丰富的标准库支持：为了简化逻辑编写，Invariant 提供了一套标准库操作，允许开发者轻松访问消息的元数据、工具参数以及代理的状态流转。
显式阻断不安全序列：不再是简单的“允许/拒绝”列表，而是可以针对特定的工具调用顺序或异常上下文进行阻断，确保不安全的行为模式在到达 LLM 或外部工具之前就被“硬拦截”。

适用边界与核心注意点

这种方案的优势在于确定性，但适用场景也相对明确：

依赖规则质量：防护效果直接取决于规则的完备性。虽然编写门槛低，但覆盖所有潜在漏洞仍需大量的回归测试。
前置环境要求：需要部署 Invariant Gateway 或配置相应的 Python 环境，并准备好用于评估的示例轨迹。
适合复杂工作流：对于简单的单次请求，传统的输入输出过滤可能成本更低；但对于涉及 MCP 工具流和多步逻辑的代理，这种轨迹级的规则防护是保障生产安全的关键。