防止从排水代理钱包中立即注入

即时注入是一种真正的支付风险，因为它针对的是决策路径，而不仅仅是基础设施。

如果代理可以执行具有财务副作用的工具调用，那么即时操纵可能会导致直接的金钱损失。

威胁模型清晰

定义攻击者目标：

• 强制未经授权的目的地付款
• 绕过支出政策检查
• 触发重复的低值消耗
• 渗透敏感支付环境

具体的威胁模型可以改善实际控制。

将意图与执行分开

切勿让原始模型输出直接调用支付执行。

使用控制平面：

1. 模型提出支付意图
2. 结构化验证器规范意图
3. 策略引擎评估约束
4. 签名者仅执行批准的有效负载

添加目的地信任层

在进行任何转移之前：

• 验证目标格式
• 检查白名单或受信任的注册表
• 得分目的地新颖性
• 升级未知收件人

未知目的地加上高价值应默认点评。

使用受约束的工具模式

工具输入模式应该严格：

• 输入金额字段
• 有界小数和最大值
• 显式货币和链枚举
• 不可变的交易目的字段

这减少了自由格式提示文本的攻击面。

监控行为漂移

及时注入通常表现为行为漂移：

• 突然的目的地多样性
• 异常交易时机
• 被拒绝的意图激增
• 反复的接近阈值的尝试

自动异常检测应纳入动态政策收紧中。

安全态势总结

将模型输出视为不可信。将政策视为强制性政策。将签名视为最后一道把守的大门。

当团队强制执行这些层时，即时注​​入成为可控风险，而不是存在的钱包威胁。