工具滥用防护

适用场景

• 用户只要求查看，agent 却准备执行修改或删除（如清除日历事件）。

• 用户只要求起草，agent 却准备直接发送或对外共享。

• 工具返回的网页或文档中夹带指令，诱导 agent 继续调用其他工具（间接注入）。

• 工具权限超出业务所需，即 OWASP LLM06（过度代理，Excessive Agency）所描述的情形。

前提

步骤

1. 盘点工具：列出 agent 可调用的每个工具，标注它是只读，还是会写入、删除、对外发送或产生费用。这一步是编写者的建议，来源未规定格式。

2. 收紧权限：工具与 agent 所用身份只授予完成任务所需的最小权限。身份管理可参考 Microsoft Entra ID 或托管标识（Managed Identity）。

3. 新建护栏：在 Foundry 项目左侧导航进入 Guardrails，选择 Create guardrail。

4. 添加控制项并选择干预点：对 agent，可选择用户输入、工具调用（Tool call，预览）、工具响应（Tool response，预览）、输出。

5. 选择风险与动作：对工具相关风险，动作选择 Annotate and block。对 agent 而言，只有该动作可用，仅标注（Annotate）不适用。

6. 配置任务一致性：添加 Task Adherence（预览）控制，或在自有流程中调用 Task Adherence API，对计划中的工具调用做判断。命中时可阻止该调用，或升级给人工审核。

7. 分配到 agent：把护栏指定给 agent。agent 的护栏完全覆盖模型部署的护栏，因此需要检查覆盖关系。

8. 验证：按下方“验证”一节测试。

参数表

验证

• 构造一个诱导性请求：用户只要求查看数据，但测试 agent 的计划工具是修改或删除类。预期 Task Adherence 或工具调用控制给出检测结果。页面给出的示例即为此类情形（查看日历事件却计划清除）。

• 检查检测结果中的 detected 与 filtered 字段。两者分别表示是否检测到风险、是否已过滤。

• 再构造一个正常请求（如查看日历），确认不会被误拦截。页面给出的正常示例结果为未检测到风险。

• 对工具响应做同样测试：在工具返回内容中放入一条无关指令，确认工具响应干预点能识别。

排错表

限制与待核实

• Task Adherence 为预览。页面说明，在所有内容安全区域都可启用，但客户数据可能被路由到美国和欧盟区域处理。这对数据驻留要求有影响，需与合规团队确认（待核实）。

• 页面说明文本长度有上限，具体数值见内容安全输入要求，本页未核实。

• 护栏概览页的动作表显示 agent 不支持仅标注（Annotate），而 Prompt Shields 页面的排错建议提到从 block 改为 annotate 观察误报。两处对 agent 场景的描述不一致，待核实。

• 预览功能的状态、适用风险与区域均以 2026-11-05 获取的页面为准，待核实。

来源与核对

• 来源 URL：

• https://learn.microsoft.com/en-us/azure/foundry/guardrails/guardrails-overview

• https://learn.microsoft.com/en-us/azure/ai-services/content-safety/concepts/task-adherence

• https://learn.microsoft.com/en-us/azure/ai-services/content-safety/concepts/jailbreak-detection

• https://learn.microsoft.com/en-us/azure/ai-services/content-safety/overview

• 核对范围：正文已读（护栏概览页、Task Adherence 概念页、Prompt Shields 概念页与内容安全概览页已读取正文）。步骤中的盘点与最小权限为编写者建议，未在来源中逐条核实。

• 获取日期：2026-11-05。预览状态与数据路由说明以该日期的页面为准，待核实。