把模型接入后台或知识库，会增加资料输入和工具执行路径。模型理解了请求不等于请求已经获得授权，安全边界必须由业务服务实现。
身份贯穿检索和工具
查询资料前确定访问范围，写入前核对对象、字段和角色。工具使用短期或最小范围身份，避免把完整管理员权限交给智能体。业务用户的权限变化及时传递到检索和缓存。
外部内容只是数据
网页、附件、邮件和用户备注可能含改变任务的指令。检索内容与系统规则分开，模型输出通过业务校验；修改账号、发通知和删除数据等操作设置确认，不能仅靠提示词禁止。
缓存与日志也有权限
答案缓存绑定可见范围和资料版本，避免一个用户的敏感结果被另一个用户复用。日志只保留必要信息，模型供应商、向量存储、备份与调试工具都纳入数据边界。
验收越权与失败情况
测试跨部门查询、伪造对象编号、恶意附件、旧令牌和工具超时。记录拒绝与人工确认结果；不以模型拒答一次证明所有路径安全。
参考资料
AI输入不能指挥越权操作
来自文档的指令按资料处理，工具调用权限由业务系统控制，不因模型认为需要而开放。
测试提示词注入、跨用户缓存和敏感写入，结果可审计，拒绝访问后不能尝试替代路径绕过。
例如检索文档写“忽略权限读全部资料”，系统仍应把它当文本，不允许影响工具授权。