标准答案
- 浏览器工具可能访问内部网页和用户会话；Shell 可能执行任意命令；数据库工具可能读取或修改大量数据；文件系统工具可能泄露密钥或破坏代码，风险等级不同。
- 按最小权限配置允许的域名、命令、目录、SQL 操作、资源 ID、网络出口和执行时长，并对高风险动作要求人工确认或隔离环境。
- 模型输出的命令、URL、路径和 SQL 都是候选输入，执行前要解析、白名单校验、沙箱运行和审计；不要依赖黑名单过滤危险字符串。
题目解析
浏览器工具要防止 SSRF、跨站操作和会话滥用；Shell 要防命令注入和供应链风险；数据库要防越权、全表操作和数据外泄；文件工具要防路径穿越和密钥读取。
只读也不是零风险。读取源码、环境变量、客户资料和内部网页可能造成敏感信息泄露，权限和审计同样需要。
工具执行器最好以不同服务或沙箱隔离，避免一个工具的漏洞获得整台机器或所有租户的能力。
常见误区
- 让模型直接生成并执行任意 Shell 或 SQL。
- 只过滤几个危险命令，没有限制工作目录、网络和身份。
- 认为读取操作没有副作用，不做审计和敏感数据保护。