文章探讨为何无法仅靠 Prompt 限制 AI Agent 权限

2026-11-06 03:57，DEV Community 的 AI 栏目发布了一篇题为《为什么无法仅靠 Prompt 限制 AI Agent 的权限》的文章，是这一话题目前唯一可查的报道。文章指出，仅靠提示词无法有效限制 AI Agent 的行为安全：模型将规则与其它文本同等对待，任何隐藏的指令都可能突破约束，因此真正的安全锁必须依赖代码层面的工具调用网关。

文章以一句提示词为例展开论证：像“Only show ledger data to finance”听起来像是一条安全规则，但它只是提示词里的一句话；如果账本工具允许任何人调用，那么保护账本的唯一屏障，就只有模型当天是否愿意照这句话行事。文章据此提醒：提示词锁不住任何东西，只要 Agent 能够读取凭据或触达某个工具，总会有某个请求或某条被植入的指令最终让它把东西交出来；唯一真正可靠的锁，是在代码中设防的工具调用闸门。文章将这一立场概括为：提示词只是一条指令，而不是一份权限。

截至目前，关于这一判断，可见的报道只有这一篇文章，尚未看到其他信源或回应。