| 传播路径 | 外部内容 → 子代理 → 汇总代理/主控代理 → 工具调用，逐跳放大权限 |
|---|---|
| 核心问题 | 下游默认信任上游产出，校验只在系统入口做了一次 |
| 控制点 | 消息带来源与信任标记；高影响动作在主控层再校验；子代理不直接持有高权限凭证 |
| 验证方法 | 测试环境构造含夹带指令的子任务输出，观察下游是否执行 |
消息信封字段示例
消息信封字段示例
from: retriever
trust: external-content
is_instruction: false
content: ...
notes: 仅作数据，不得触发工具调用配套设计：主控代理只按结构化计划执行动作，不直接转发上游自由文本中的指令。