除Prompt约束外，Agent工具调用可采取哪些兜底处理？

## 作用 除 Prompt 约束外，Agent 工具调用需要通过工程化兜底，将模型不可靠的生成结果转化为可审计、可控制、可恢复的确定性操作，主要防范： - 参数幻觉：编造字段、错误枚举、格式错误或越界值。 - 权限失控：调用未授权工具、执行高危操作或访问错误环境。 - 重复执行：超时重试导致重复发信、重复扣款、重复扣库存等副作用。 - 执行风险：外部代码或工具行为影响宿主系统、生产数据和其他用户。 ## 原理 可采用“三层防护”架构： ### 1. 校验层：Schema 强校验与参数净化 - 为每个工具注册明确的 JSON Schema、Pydantic Model 或 Protobuf 定义。 - 在执行前进行严格模式校验，拒绝未声明的额外字段。 - 校验参数类型、必填项、取值范围、枚举值、日期格式和字符串格式。 - 对可安全处理的类型做自动转换，同时进行边界检查。 - 对敏感字段进行脱敏、过滤或直接拦截。 - 对未知工具直接拒绝调用；校验失败时返回结构化错误，让 Agent 修正，而不是继续执行。 ### 2. 授权层：最小权限与动态鉴权 - 按 Agent 角色、当前用户身份和业务上下文进行动态鉴权，而不是把所有工具无差别开放给模型。 - 遵循最小权限原则，只暴露当前任务必需的工具和参数。 - 将临时凭证绑定到实际调用方身份，避免硬编码长期 API Key。 - 区分测试、预发和生产环境，防止测试 Agent 触发生产接口。 - 对删除账户、支付、退款、批量修改等高危操作设置二次确认或人工审批。 ### 3. 执行层：沙箱隔离、幂等控制与回滚补偿 - 使用隔离容器、沙箱或受限运行环境执行外部代码，限制文件、网络、进程和系统调用权限。 - 为每次业务操作生成唯一幂等键，并在应用层和后端去重；网络超时重试时复用同一键，避免副作用叠加。 - 工具接口尽量设计为幂等接口，相同请求重复提交不应产生多次业务效果。 - 为关键写操作记录调用日志和操作状态。 - 对失败流程提供自动回滚、补偿事务或人工处理入口。 整体原则是“零信任执行”：模型输出只能作为意图，不应直接获得信任；必须先校验、再授权、最后在隔离且可恢复的环境中执行。