當 AI Agent 具備工具呼叫權限時，現有的外部防禦多半是「逐一檢查每個動作」。 但若攻擊者先污染 Agent 的記憶，誘導它執行一連串拆開看皆合法、湊起來卻會外洩資料的動作，單步驟的防範手法就會產生無效的問題。本系列文章專注於建立第一份針對「授權範圍內攻擊」的對抗式評估。 在這 30 天中，讀者將能學到： 看懂攻擊鏈的拼裝：掌握攻擊者如何利用合法工具堆疊攻擊。 理解相關能力與概念：了解相關防禦、攻擊、評測的基礎知識。 學會客觀的評測方法：掌握如何使用基準環境來評測。

Agent 在呼叫外部工具時，容易受到竄改內容影響，導致間接提示注入，達成不越權的攻擊，目標是要在 Gatekeeper的攔截更完善。

Agent 呼叫工具（寄信、讀檔、上網）時，讀進外部可竄改內容可能被挾持執行惡意行為，CaMeL 用雙模型分工與 capability 標記擋下直接劫持，但代價是計畫一旦定案就不能因讀到的內容而調整，任務完成率因此下降。本系列以 CaMeL 為起點，設計並實作一個「受限訊號＋判讀關卡」機制，被隔離模型讀完不受信任資料後，只能送出型別受限、可稽核的訊號，由判讀關卡決定放不放行，讓計畫能有限度調整，同時不動搖 CaMeL 原本的安全保證，我們將在30 天內完成一個簡單架構的 demo，並在 AgentDojo 上驗證任務完成率與安全性的變化。