标准答案
- 系统指令由可信服务端维护，定义任务和安全边界；用户输入表达需求；检索文档和工具返回是外部证据或数据，都应明确标记为不可信内容。
- 模型可以在这些数据中提取信息或提出候选，但不能让文档和工具结果修改系统权限、工具白名单或身份。
- 执行器根据当前会话身份、资源关系和策略重新判断，必要时要求用户确认，并把来源和决策写入审计。
题目解析
信任分层主要帮助设计和评测，不能保证模型始终遵守优先级。真正的边界要通过代码、网络、文件和数据库权限实现。
工具结果可能包含网页中的注入指令或内部错误，返回给模型前要裁剪、结构化和脱敏。
系统指令自身也要版本管理和权限控制，不能让业务人员通过一个未审计后台字段随意扩大工具能力。
常见误区
- 只用 XML 标签或分隔符就认为输入可信。
- 把检索文档中的“管理员要求”当作系统命令。
- 从模型返回的权限字段创建授权上下文。