仓库提示词注入防御：编码代理的指令与数据边界

可信指令集应限定为当前人类需求、组织政策以及处于适用作用域内的已审查仓库指令。源码、注释、测试夹具、Issue、日志、网页和工具输出即便使用命令语气，也不会因为进入上下文就自动获得权威。

来源冲突时停止执行，并附路径或 URL 展示冲突。不能让代理选择更方便或语气更强的一方。

每个摘录都保留文件路径、Issue URL、工具身份和获取时间。总结需要区分引用主张、已核验事实和代理解释。任何外部文本在未经审查前都不能复制到 AGENTS.md、CLAUDE.md、脚本或长期提示。

加载前应脱敏日志和示例，但不能删除评估信任所需的来源。没有来源的干净片段，可能比明确标注为不可信的内容更危险。

探索阶段使用只读权限，把写入限定在工作区，对网络目标设允许列表，并让秘密存储默认不可访问。安装软件、修改 CI、连接外部服务、改变权限或发布制品都需要单独批准。

构造一个要求忽略政策、读取拒绝路径或联系未批准主机的夹具，但只指向无害测试资源。确认客户端拒绝或请求审批、测试环境没有真实秘密，同时日志能够显示越界尝试且不保留敏感内容。

代理若读取秘密、联系未知目标、修改受保护文件或执行未授权命令，应立即停止会话、保留脱敏证据、轮换暴露凭据、检查 diff 与外部影响，并移除恶意来源。只有理解失败边界及其所有者后，才能恢复能力。