供应链风险是什么
第三方插件、连接器与外部服务会同时带入两样东西：新的指令通道和新的数据出口。插件被允许读取会话内容、调用工具、回传数据，一旦被篡改或是恶意的，就同时构成注入入口与泄露通道。因此这类接入要按供应链风险管理来做，而不是当成一次性的功能开关：审查来源与权限、锁定版本、审计调用、准备好停用与替换预案。
基本信息
| 对应框架 | OWASP LLM03 供应链风险；NIST SP 800-218（SSDF）安全开发实践思路 |
|---|---|
| 风险面 | 插件可读取会话内容、调用工具、回传数据 |
| 审查点 | 来源可验证、权限声明与实际一致、依赖可锁定版本、更新有公告 |
| 退出机制 | 停用与替换预案；卸载后清理授权与缓存数据 |
典型使用场景
- 接入新插件：评估权限是否超出场景所需
- 连接器升级：升级前复测注入用例与权限范围
- 多来源数据接入：外部服务返回内容按低信任来源处理
- 审计准备：整理调用日志与权限清单，支撑合规检查
- 退场管理：服务下线时清理授权、缓存与历史数据
接入评估清单
接入评估清单
# 来源：官方仓库或可验证发布者？有无签名与校验和？
# 权限：需要哪些数据与工具权限？是否超出场景所需？能否收窄？
# 数据：数据发往何处？能否关闭遥测？保留期多久？
# 更新：是否锁定版本？升级前是否复测注入用例与权限变更？
# 审计：调用日志是否留存？异常调用能否告警？
# 退出：停用后如何清理授权、缓存与已同步的数据？控制层与做法
| 控制层 | 做法 | 拦下的风险 |
|---|---|---|
| 来源验证 | 校验发布者、签名与完整性 | 被篡改或被替换的组件 |
| 权限收窄 | 按最小必要授权，不用默认全量 | 越权读取与写入 |
| 出站控制 | 域名白名单与调用配额 | 数据被外发至未授权地址 |
| 版本锁定 | 固定版本，升级走复测 | 自动升级引入新行为 |
| 审计与退出 | 留存调用日志，准备停用预案 | 事件无法追溯与清理不彻底 |
插件返回的内容应归入低信任来源：它能带回指令样式文字，也能带着用户的上下文往外走。接入时同时配置来源级别与出站限制，缺一不可。
允许插件自动升级且不复测，等于把攻击面交给第三方控制，而且变化时间点不可预期。生产环境应锁定版本，升级作为一次显式发布处理。