AI Agent 工具调用安全：Owthorize 如何在执行前拦截危险操作

当你让 AI Agent 操作数据库、调用 Shell 命令或发起 HTTP 请求时，Agent 的一次「坏调用」可能造成不可逆的损失——删除整张表、暴露内部服务、执行恶意命令。这不是理论风险，而是每个使用 AI Agent 的开发者都面临的真实问题。

问题：Prompt 层安全是纸墙

大多数 AI Agent 应用的安全策略停留在 Prompt 层面：「你是一个友好的助手，不要删除数据」。但这种方式在面对以下三种场景时近乎失效：

1. 提示注入（Prompt Injection）：用户或 Agent 读取的文档内容诱导模型发出开发者未曾预料的工具调用
2. 参数幻觉：模型生成语法正确但语义错误的参数——DELETE FROM users 而非 DELETE FROM users WHERE id = ?
3. 推理错误：模型过于「乐于助人」，主动执行清理操作、访问内部 IP 或写出工作区之外的文件

这些问题不是「偶尔发生」，而是 AI Agent 工具调用的固有特性——模型在工具层面没有约束机制。

传统方案为什么不够

市场上现有的安全方案各有局限：

我们需要的是一个嵌入在 Agent 工具层、能理解调用语义、在工具执行之前拦截的安全层。

Owthorize：工具层的同步安全门

Owthorize 是一个轻量的 JavaScript/TypeScript 库，MIT 开源协议，它的核心理念是：模型的输出不应该直接传递给你的数据库、HTTP 客户端或文件系统。在它们之间加一道安全门，用 AST 解析而非字符串匹配来判断每个调用是否安全。

安装

npm install owthorize

支持 ESM 和 CJS，要求 Node ≥ 18。

快速上手

import { Guard, rules, GuardDenied } from "owthorize"

const guard = new Guard({
  rules: [
    rules.sql.denyDDL(),
    rules.sql.denyMutationWithoutWhere(),
    rules.http.denyHosts(rules.http.SSRF_DEFAULTS),
  ],
})

// 安全包裹数据库查询
const safeQuery = guard.tool("db.query", {
  adapter: "sql.postgres",
  handler: async ({ query }) => db.query(query),
})

try {
  await safeQuery({ query: "DROP TABLE users" })
} catch (err) {
  if (err instanceof GuardDenied) {
    console.log(err.matched, "→", err.reason)
    // → sql.denyDDL → DDL not allowed: drop
  }
}

核心功能

1. 语义级安全规则

Owthorize 的规则引擎基于解析器而非正则表达式。每个适配器将原始参数解析为 AST（抽象语法树或结构化类型），规则在解析后的类型上做判断：

• SQL：解析 Postgres/MySQL/SQLite 查询，检测 DDL 操作、无 WHERE 的 UPDATE/DELETE、特定表的访问
• HTTP：解析 URL，规范化 IPv4-mapped IPv6，检测 RFC1918 内网地址、AWS 元数据端点、*.internal 通配符
• Shell：分词 argv，检测管道、重定向、命令替换、危险命令（rm/dd/mkfs 等）
• 文件系统：规范化路径，限制在指定根目录内

// 测试规则而不实际执行
const decision = guard.simulate("db.query", { query: "DROP TABLE users" })
// → { decision: "deny", reason: "DDL not allowed: drop", irreversible: true }

2. 框架集成一括包装

Owthorize 提供了 protectTools() 辅助函数，一次性包装整个工具注册表：

import { protectTools } from "owthorize/openai"

const safeTools = protectTools(guard, openaiTools, {
  db_query: { adapter: "sql.postgres", redact: ["params.password"] },
})

支持 OpenAI、Anthropic、LangChain、Vercel AI SDK 四种框架，保持各框架特有的字段不受影响。

3. 审计日志与不可逆标记

每次检查都会写入结构化日志：

{
  "ts": "2026-07-05T12:00:00Z",
  "tool": "db.query",
  "decision": "deny",
  "matched_rule": "sql.denyDDL",
  "irreversible": true
}

审计日志支持插件式输出（audit: { sink: myLogger }），敏感字段可以在哈希之前被遮盖。irreversible 标记用于区分可自动拒绝和需要人工审批的操作。

4. 项目级自定义规则

除了内置规则，还可以编写基于业务逻辑的自定义规则：

rules.sql.custom({
  on: { ddlOp: "drop" },
  when: (parsed) => parsed.tables.some(t => t === "critical_data"),
  decide: () => deny("Cannot drop production table", "custom.dropProtected"),
})

注意事项

• Owthorize 保护的是工具调用层内的安全，不防御绕过 SDK 的恶意 runtime 或工具实现内部的漏洞
• 当前版本 v0.4.1，公共 API 已稳定但仍在收集外部反馈
• irreversible 标记提供的是同步判断——Owthorize 不会阻塞等待人类审批，而是让你的代码决定如何路由
• 对于企业级部署，建议配合进程边界（Sidecar、容器出口规则）使用

总结

Owthorize 解决了一个真实且紧迫的问题：AI Agent 工具调用的安全性。它的设计理念值得每个使用 Agent 的开发者借鉴——在模型和系统之间建立不可绕过的安全层，用解析取代匹配，用策略取代提示词。如果你的 Agent 会操作数据库、发起 HTTP 请求或执行 Shell 命令，Owthorize 是一个值得引入的依赖。

相关链接：

• GitHub: Spyyy004/owthorize
• npm: owthorize
• MIT 许可证