Guardrail、沙箱与人工审批

本节目标

理解内容 guardrail、确定性策略、沙箱和人工审批解决不同问题；能为高影响动作设计参数绑定、短时有效的批准；能为代码/工具运行配置默认拒绝的文件、网络和资源边界。

不要把“guardrail”泛化成所有安全控制。基于模型的内容分类器也是概率组件，会误报、漏报或受对抗输入影响；它适合补充，不应成为唯一授权者。

模型只能提出候选动作；策略层接收可信身份、任务用途、规范化参数、对象、数据分类、环境、预算和审批状态，返回 allow/deny/review。默认拒绝未知工具、字段、目的地和状态。策略决策与模型文字分离，才能单元测试和审计。

Guardrail、沙箱与人工批准都不能替代服务端对象级授权。即使审批者同意“发送这封邮件”，执行器仍要确认当前主体确实能访问正文、能代表该租户发送给该收件人，且批准所绑定的对象与版本仍未变化。

有效批准不是一个可复用的 approved=true。审批界面至少展示：

批准令牌应绑定主体、动作、规范化参数哈希、对象、状态版本和过期时间，由可信服务签发并一次性消费。任何关键参数或对象状态变化都重新审批。这防止“批准 A，执行 B”和检查时/使用时（TOCTOU）差异。

人类在环也会失败：批量弹窗造成疲劳、界面省略真实参数、审批者没有权限或无法判断。审批只放在真正高影响的断点，并提供安全默认、拒绝、编辑、升级和超时路径。

运行模型生成代码或不可信工具时，最低限度考虑：

容器是实现隔离的一种工具，不是自动安全边界。具体强度取决于运行时、内核、权限、挂载和网络配置；高风险代码应由基础设施安全团队选择合适的隔离技术。

“生成并运行 CSV 清洗代码”可以这样分层：模型只生成候选代码；静态检查拒绝危险导入；沙箱只读挂载输入、无网络、限制资源；输出只能是指定 CSV/报告；策略检查数据分类；用户预览行数变化和输出位置后批准替换原文件；所有步骤写入 run ID 对应的审计轨迹。

某一层漏过时，其他层仍限制影响。比如静态检查没识别混淆代码，无网络和只读挂载仍阻断外泄与覆盖。

准备工具级紧急停用、凭据吊销、队列暂停、模型/Prompt/依赖回滚和只读降级。失败时不要自动切到权限更大的备用路径；拒绝原因应足够调试但不泄露秘密。紧急开关必须定期演练，否则事件中可能无效。

为“生成并运行数据清洗代码”写一页控制契约：允许的输入/输出、文件与网络策略、资源配额、禁止能力、需要审批的动作、批准绑定字段、超时与紧急停用。再写五个负向测试：路径穿越、未知网络、资源耗尽、参数替换、批准重放。

继续红队、监控与事件响应，验证控制在攻击与事故下是否真实有效。