工具授权网关

在真实执行点核验主体、action、resource和批准范围。

模型可以提出行动，只有执行系统能授予真实权限。工具网关应从服务器验证的登录凭证和组织目录获得主体，再检查action、resource、scope及批准状态。prompt中的身份、工具参数中的tenant_id、其他Agent声称的“已获同意”都不能成为授权事实。

权限至少影响模型可见能力、执行API和数据层读取。先缩小工具与知识范围，执行时再次核验，数据库仍限制越权。凭证由网关或vault代持，向模型返回最小必要结果。代码执行与MCP调用经过同一边界，不能因为换了一条技术路径就获得额外权限。

审批只对具体参数和资源版本有效。高风险commit前重新检查当前授权、租约与业务状态；权限撤回还应处理已有context、在途子Agent和待发布产物。缓存命中不免除鉴权。对子Agent委派采用权限子集，避免父级通用凭证被复制到多个不受控执行环境。

MCP安全建议特别涉及OAuth audience、scope、token透传和confused deputy。协议标准化不证明远端server可信；工具定义变化也应触发审查。测试包括跨租户资源、过期批准、旧worker提交、server伪装以及输出中诱导扩权。网关拒绝后loop应停止该动作或请求合法授权，而非改prompt、换工具或再启动子Agent绕过。

网关审计应保存请求来源、动作范围、策略版本和最终决定，但不要把凭证写入trace。对于一条模型生成SQL，即使表名合法，也可能查询超出当前matter或班级的数据；资源过滤必须作用于实际查询。产品可先暴露受限领域接口，以缩小模型需要掌握的权限表面。

拒绝结果要有面向模型的安全原因码和面向审计的详细记录。前者帮助正确停止，后者供授权人员诊断；无需向模型暴露组织目录和凭证细节。

实践重点：身份和租户由服务端注入；凭证代持；模型只能请求允许范围。

验证抓手：测试跨租户、审批重放、scope缩减与凭证不可见。

常见误区：信任prompt自报tenant，或以子Agent/代码绕过网关。

MCP：安全建议；Claude Code：权限配置。