WorkBuddy 本地文件系统沙箱与企业数据安全：防提示词注入逃逸、权限分级与审计日志

系统阐述 WorkBuddy 本地沙箱的安全防御体系，详解间接提示词注入（Indirect Prompt Injection）防御策略、OS 级 chroot/容器隔离边界、HMAC 令牌验证机制与企业级本地可追溯审计日志架构。

1. 桌面端自主 Agent 的安全攻防挑战

当 AI Agent 从「云端只读聊天室」下沉到「直接操作用戶本地硬盤、執行代碼與讀寫文檔」時，安全攻擊面發生了根本性擴大。

如果用戶讓 WorkBuddy 讀取一份來自第三方的未受信任 PDF 或代碼倉庫，該文檔內部可能隱藏惡意提示詞（間接提示詞注入，Indirect Prompt Injection），誘使 Agent 越權讀取用戶根目錄下的 ~/.ssh/id_rsa、瀏覽器 Cookie 或財務敏感數據，並通過外網請求將數據悄悄洩漏。因此，打造堅不可摧的本地沙箱與審計體系是 WorkBuddy 企業級商用的底層基石。

2. 多層防禦體系與 OS 級沙箱隔離

WorkBuddy 採用縱深防禦（Defense in Depth）架構，構建了三重安全屏障：

1. 文件路徑規範化與目錄監禁（Jailing）：所有文件 I/O 請求必須通過路徑正則化校驗，嚴格防範路徑遍歷攻擊（Path Traversal，如 ../../../ 字符逃逸）。Agent 默認僅擁有當前項目 Workspace 的讀寫權限，任何針對宿主機系統文件夾的讀寫調用均會在系統底層被直接攔截。
2. 容器與進程權限降級（Process Demotion）：在 Windows 平台使用 AppContainer 或低完整性級別（Low Integrity Level）運行沙箱 Worker 進程；在 macOS 平台調用內置 sandbox-exec 策略文件，剝奪未授權的網絡套接字（Socket）綁定權與調試器附加權限。
3. 外部命令白名單與 AST 語法樹靜態分析：當 Agent 需要運行 Python 代碼時，WorkBuddy 內置的語法解析器會在執行前對代碼 AST 進行靜態掃描，凡是調用 socket、ctypes、os.system 或敏感系統 API 的代碼片段，均需觸發安全警報並要求用戶人工批准。

3. 間接提示詞注入（Indirect Prompt Injection）防護策略

針對非結構化文檔中的惡意指令隱蔽嵌入，WorkBuddy 實施「控制流與數據流嚴格分離」：

1. 雙通道權威分離（Dual-Channel Separation）：用戶的初始指令處於「系統信任通道」，而任何被爬取的網頁內容、PDF 提取文字與第三方代碼均被標記為「不可信數據通道」。
2. 數據解構與沙箱清洗：第三方內容在進入主控 Agent 決策前，由前置無狀態輕量模型進行清洗，剝離 Ignore previous instructions 或 System Prompt Override 等特徵模式。
3. 單向輸出隔離：沙箱 Worker 即使生成了待發送的網絡請求，也無法直接發送，必須經過本地主控網關校驗請求目的地是否屬於已登記的企業域名白名單。

4. HMAC 令牌校驗與本地不可篡改審計日誌

合規審計是金融、醫療與法務等敏感行業引進 AI Agent 的硬性要求。

1. 操作簽名（HMAC Token Verification）：每次主控 Agent 授權沙箱執行文件寫入或命令運行時，均會生成一個綁定當前任務 ID 與時間戳的一次性 HMAC-SHA256 簽名。執行端必須驗證簽名一致性，杜絕重放攻擊或偽造指令。
2. 本地結構化審計流水（Append-Only Audit Trail）：WorkBuddy 在本機保留完整的 JSON Lines 格式審計日誌（audit.jsonl）。記錄包括操作發起時間、執行 Agent 標識、操作類型（READ/WRITE/EXEC）、影響文件絕對路徑、文件修改前 SHA-256 哈希值與用戶確認狀態。日誌採用只追加模式，並支持企業安全管理員一鍵導出對接 Splunk 或 ELK 系統。

5. 企業安全部署推薦實踐

1. 隔離非可信文檔處理：處理陌生外部郵件附件或開源代碼時，建議在 WorkBuddy 界面點擊開啟「一次性臨時任務模式」（Disposable Session），任務結束後自動銷毀全部容器快照與緩存。
2. 定期重置本地工作目錄權限：確保項目工作區不存儲常規業務數據之外的個人敏感憑證，養成「憑證託管在獨立密碼管理器中，不寫入本地純文本」的安全習慣。