WorkBuddy 本地文件系统沙箱与企业数据安全：防提示词注入逃逸、权限分级与审计日志

系统阐述 WorkBuddy 本地沙箱的安全防御体系，详解间接提示词注入（Indirect Prompt Injection）防御策略、OS 级 chroot/容器隔离边界、HMAC 令牌验证机制与企业级本地可追溯审计日志架构。

1. 桌面端自主 Agent 的安全攻防挑战

当 AI Agent 从「云端只读聊天室」下沉到「直接操作用户本地硬盘、执行代码与读写文档」时，安全攻击面发生了根本性扩大。

如果用户让 WorkBuddy 读取一份来自第三方的未受信任 PDF 或代码仓库，该文档内部可能隐藏恶意提示词（间接提示词注入，Indirect Prompt Injection），诱使 Agent 越权读取用户根目录下的 ~/.ssh/id_rsa、浏览器 Cookie 或财务敏感数据，并通过外网请求将数据悄悄泄漏。因此，打造坚不可摧的本地沙箱与审计体系是 WorkBuddy 企业级商用的底层基石。

2. 多层防御体系与 OS 级沙箱隔离

WorkBuddy 采用纵深防御（Defense in Depth）架构，构建了三重安全屏障：

1. 文件路径规范化与目录监禁（Jailing）：所有文件 I/O 请求必须通过路径正则化校验，严格防范路径遍历攻击（Path Traversal，如 ../../../ 字符逃逸）。Agent 默认仅拥有当前项目 Workspace 的读写权限，任何针对宿主机系统文件夹的读写调用均会在系统底层被直接拦截。
2. 容器与进程权限降级（Process Demotion）：在 Windows 平台使用 AppContainer 或低完整性级别（Low Integrity Level）运行沙箱 Worker 进程；在 macOS 平台调用内置 sandbox-exec 策略文件，剥夺未授权的网络套接字（Socket）绑定权与调试器附加权限。
3. 外部命令白名单与 AST 语法树静态分析：当 Agent 需要运行 Python 代码时，WorkBuddy 内置的语法解析器会在执行前对代码 AST 进行静态扫描，凡是调用 socket、ctypes、os.system 或敏感系统 API 的代码片段，均需触发安全警报并要求用户人工批准。

3. 间接提示词注入（Indirect Prompt Injection）防护策略

针对非结构化文档中的恶意指令隐蔽嵌入，WorkBuddy 实施「控制流与数据流严格分离」：

1. 双通道权威分离（Dual-Channel Separation）：用户的初始指令处于「系统信任通道」，而任何被爬取的网页内容、PDF 提取文字与第三方代码均被标记为「不可信数据通道」。
2. 数据解构与沙箱清洗：第三方内容在进入主控 Agent 决策前，由前置无状态轻量模型进行清洗，剥离 Ignore previous instructions 或 System Prompt Override 等特征模式。
3. 单向输出隔离：沙箱 Worker 即使生成了待发送的网络请求，也无法直接发送，必须经过本地主控网关校验请求目的地是否属于已登记的企业域名白名单。

4. HMAC 令牌校验与本地不可篡改审计日志

合规审计是金融、医疗与法务等敏感行业引进 AI Agent 的硬性要求。

1. 操作签名（HMAC Token Verification）：每次主控 Agent 授权沙箱执行文件写入或命令运行时，均会生成一个绑定当前任务 ID 与时间戳的一次性 HMAC-SHA256 签名。执行端必须验证签名一致性，杜绝重放攻击或伪造指令。
2. 本地结构化审计流水（Append-Only Audit Trail）：WorkBuddy 在本机保留完整的 JSON Lines 格式审计日志（audit.jsonl）。记录包括操作发起时间、执行 Agent 标识、操作类型（READ/WRITE/EXEC）、影响文件绝对路径、文件修改前 SHA-256 哈希值与用户确认状态。日志采用只追加模式，并支持企业安全管理员一键导出对接 Splunk 或 ELK 系统。

5. 企业安全部署推荐实践

1. 隔离非可信文档处理：处理陌生外部邮件附件或开源代码时，建议在 WorkBuddy 界面点击开启「一次性临时任务模式」（Disposable Session），任务结束后自动销毁全部容器快照与缓存。
2. 定期重置本地工作目录权限：确保项目工作区不存储常规业务数据之外的个人敏感凭证，养成「凭证托管在独立密码管理器中，不写入本地纯文本」的安全习惯。