系列：100 天系统学习 AI Agent 开发
当前阶段：LangChain 与 LangGraph 工程化
今日目标：中间件和护栏用于检查输入、输出、工具调用和敏感行为。

1. 问题从哪里来

越能行动的 Agent，越不能只看效果。中间件和护栏用于检查输入、输出、工具调用和敏感行为。 今天我会从风险、权限和可追溯性入手，给系统加一层可靠边界。

2. 原理和边界

• 威胁模型：先列出可能的攻击、误用、越权和泄露路径。
• 最小权限：只开放完成任务必需的工具和数据，高风险动作必须确认。
• 审计复盘：记录谁、在何时、触发了什么动作、影响了哪些数据。

3. 练习步骤

今天的主任务是：写 3 条护栏：禁止泄露密钥、禁止执行破坏性命令、低置信度必须追问。

我会按这个节奏做：

1. 写出 3 条正常样本和 3 条恶意或边界样本。
2. 完成主题任务：写 3 条护栏：禁止泄露密钥、禁止执行破坏性命令、低置信度必须追问。
3. 记录应该拦截、应该追问、应该人工确认的情况。

4. 今天的沉淀

今天至少留下 6 条安全样本，正常和攻击都要有：

5. 下一步延伸

复盘「Middleware 和 Guardrails」时我会重点看“连接感”。今天不是孤立的一天，它要能接上前面的知识，也能把后面的任务推起来。

• 向前连接：今天需要复用前面学过的工具、状态、资料或评测意识。
• 向后连接：把安全样本接到自动评测和上线前红队测试。
• 质量底线：危险动作有拦截、追问、人工确认或审计记录。
• 需要警惕：只在 prompt 里写小心一点，却没有系统层限制。

面试官会追问：Guardrail 放在哪一层最有效？

不同风险要放在不同边界。输入层处理恶意指令与敏感数据；规划层限制可选动作；工具层做鉴权、参数校验和资源范围检查；输出层做引用、脱敏与格式验证。只在最终文本上做一次内容审核，已经拦不住中途发生的越权工具调用。

Middleware 适合承载跨切面能力：trace、超时、预算、重试、脱敏和策略检查。但业务权限仍应由可信服务校验，不能写成一段可被 Prompt 注入影响的自然语言规则。

作品集里应保留一条“护栏触发轨迹”：哪条策略、在哪一层、拦住了什么动作、用户得到什么安全提示。只写“已接入 Guardrails”无法证明它真的生效。

今日检查清单

• 今天的概念能落到一个真实场景，而不是只给定义
• 今天的练习有过程记录：写 3 条护栏：禁止泄露密钥、禁止执行破坏性命令、低置信度必须追问。
• 今天的验收标准可被别人检查：危险动作有拦截、追问、人工确认或审计记录
• 写 3 条正常样本、2 条边界样本、1 条攻击样本
• 为每条样本标注放行、追问、拒绝或人工确认
• 检查日志和 trace 是否会暴露敏感信息
• 删除一段空泛表述，换成自己的失败样本或判断