AI 智能体读取邮件或调用工具时，如何阻止提示注入

文章主张用最小权限、隔离不可信内容、在智能体与工具之间加运行时检查、强制人工确认这四层组合，降低读取邮件或 Slack 消息的智能体遭遇间接提示注入的风险。文章以 Composio Agent Firewall 的会话钩子为例，说明可在工具执行前拦截调用，或在结果进入模型前拦截内容；按任务上下文判断某次调用是否合适的检查仍在产品页上标注为即将推出。文中引用 AgentDojo 论文说明，让只读任务去掉写工具仍有局限，例如获批的发送工具仍可发往未授权收件人，并指出没有检测器能让不受限制的工具访问变安全，执行后的检查也无法撤回已发出的邮件或已删除的文件。在启用 Zero Data Retention 时，依赖历史上下文的检查可能无法拦截。