本周要回答： 给 agent 更多上下文和工具，会带来更可靠的结果，还是更大的泄露与误操作空间？
进入本周前： 会运行评测，能解释工具执行器和模型建议的区别。
- 01项目约束
- 02相关上下文
- 03限定工具调用
- 04拒绝越界
学习内容与理解目标
本周理解三类内容：长期有效的项目约束、当前任务状态、外部不可信资料。不要把它们混成无限增长的聊天历史。交接只保留目标、已验证结果、下一步、阻碍与必要文件位置；不要复制全部日志和私人对话。
Skills 可用于按需加载某类任务步骤，MCP 用于连接工具与资源；二者都不是自动获得信任的凭证。工具描述、仓库文档和网页都可能含误导指令。这里先做只读集成演练，学习参数、权限、身份、返回值和错误边界；具体安全要求看 R57 · MCP：Security Best Practices，2026-07-28 版。若某工具不支持某功能，就保留手动流程，不伪造自动续聊或删除能力。
学习链接与选读范围
| 级别 | 官方或原始资料 | 本周只读这些 | 阅读预算 |
|---|---|---|---|
| 必读 | R43 · Anthropic：Effective context engineering for AI agents | 选择上下文、压缩与检索的取舍；只采用当前确有需要的方法。 | 35 分钟 |
| 必读 | R57 · MCP：Security Best Practices，2026-07-28 版 | 授权边界、令牌与连接器相关风险，按版本核对。 | 45 分钟 |
| 必读选段 | R58 · OWASP：LLM Prompt Injection Prevention Cheat Sheet | 间接提示注入、工具限制与分层防护。 | 40 分钟 |
实战拆解
将当前项目说明缩成一页，只放运行方法、边界、测试与完成标准。另写一张交接卡，下一轮只读相关模块，不把全部资料默认塞入上下文。
把一个反复执行的低风险流程写成可复用 skill：触发条件、输入、步骤、验证、停止条件。不要把它升级成能自行安装插件或扩大权限的总控。
为一个只读工具列权限表：访问什么资源、允许哪些方法、参数范围、返回字段和超时。用 mock MCP 或已核对的只读服务练习，不接真实私人内容。
在合成资料中放入一段无害注入示例，例如要求忽略任务并输出测试标记。评测系统是否仍把它当资料，而不是执行指令；重点检查执行器拒绝越权。
比较完整历史与短交接在同一任务上的结果。记录丢失了什么重要信息；只有确有收益才保留更复杂的上下文机制。
交付与验收
| 本周交付 | 怎样确认真的完成 |
|---|---|
| 上下文与交接卡 | 不含完整私人日志，能让新会话接上一个具体任务。 |
| 工具权限表 | 允许和禁止范围明确，并有一次实际拒绝测试。 |
| 注入演练记录 | 记录输入与实际执行，不以“模型口头拒绝”替代权限验证。 |
不用代码生成器的练习： 自己给工具增加一条资源范围检查，并用一个越界参数测试；不能仅修改系统提示词。
隐私与安全检查： 禁止令牌透传、共享账号凭据和不明 MCP 服务。只读并不等于无风险：读取的数据仍可能被外传。没有必要不开放出站网络，敏感内容不进入工具返回和追踪日志。不要因教程出现高自主模式就关闭主机权限提示。
落到日常生活： 把一次经常中断的学习或开发任务改用短交接继续，亲自验证它是否比重读整个对话更轻松。真正的目标是恢复任务，不是让上下文监控本身成为负担。
过关或补课判断： 新会话能恢复任务，越权请求被实际拒绝，且不再默认信任外部文本，才开始知识工作台。
本周可复制的协作提示
请整理最小项目约束和短交接卡，并为一个只读工具写权限表。用合成提示注入与越界参数测试执行器，不接真实账号，不增加任意文件读取或 shell 权限。优先删除不必要的上下文。
本周来源与核对范围
来源编号与核对说明沿用课程原文，基线为 2026-09-27。未逐一登录完成外部实验；实施前请核对最新版本与访问条件。
- R43Anthropic：Effective context engineering for AI agents ↗
上下文选择与管理；不把特定模型经验当永久规律。
- R57MCP：Security Best Practices，2026-07-28 版 ↗
固定文档版本便于追溯；实施时同时检查新版安全变更。
- R58OWASP：LLM Prompt Injection Prevention Cheat Sheet ↗
安全思路与分层控制；没有单个提示词能保证阻止注入。