原则：只给完成任务的最小权限。

具体：

  1. 文件系统：只挂工作目录，别挂 / 或者 home
  2. 数据库：只给只读账号，写操作走人工
  3. 云平台：不给创建资源的权限，只给读
  4. 命令执行：白名单，不用黑名单（黑名单永远不全）

最危险的是「为了省事给 root」。给了之后，任何提示词注入都能变成删库。

补充：容器隔离比权限控制更可靠。让它跑在容器里，挂了也就挂一个容器。

另外，审计日志要留。它做了什么，事后要能查。

主楼