DeepSeek V4 Pro 代理安全，關鍵唔只係模型，而係整套 Harness

DeepSeek V4 Pro 可以透過唔同介面接入代理系統，包括網頁、手機 App、API、OpenAI Responses API 同 Codex 整合。不過，呢啲接入方式最多只可以證明介面兼容，唔代表 prompts、tools、permissions、memory、retries 或外部副作用喺唔同 runtime 入面會有相同表現。

實際部署時，機構應評估完整嘅 model–harness–task–environment configuration，而唔係單獨睇模型。最簡單嘅操作原則係：只有當某一個鎖定版本嘅完整配置通過專屬安全評估，先可以批准該配置上線。

點解 Harness 會改變代理嘅實際風險

代理唔等於底層模型本身。Harness——即負責串連模型、工具、工作階段同執行環境嘅框架——會決定模型點樣接收指令、選擇工具、讀取資料、處理錯誤，以及對外部系統造成影響。

可能出現重大差異嘅地方包括：

• system prompt 同 adapter；
• 工具定義及實作方式；
• 權限範圍及審批閘門；
• 檔案系統根目錄及網絡存取；
• credential 來源及使用身份；
• subprocess 同生成程式碼嘅行為；
• retry、timeout 同 concurrency 邏輯；
• session state、摘要、cache 及持久記憶。

所以，即使後端用緊同一個 DeepSeek V4 Pro，經過唔同 Harness 或執行環境之後，都可能呈現唔同風險。兼容 API schema 只係整合層面嘅特性，唔係安全認證。

AgentS4D 顯示咗乜，亦冇顯示乜

AgentS4D 評估嘅唔係孤立模型回應，而係完整 runtime configuration。研究以 328 個注入風險案例，測試四個 agent harness 同五個模型後端，合共進行 6,560 次沙盒執行；其中 4,461 次，即 68.0%，被判定為不安全，而 4,344 次，即 66.22%，同時被判定為不安全及完成任務。13

最值得留意嘅結論係：任務成功完成，可以同不安全執行同時出現。 代理可能交到要求嘅檔案或結果，但過程中同時作出被禁止嘅改動、處理敏感資料不當、繞過原定控制，或者造成其他不安全副作用。

呢啲數字唔應該被當成 DeepSeek V4 Pro 嘅生產事故率。測試使用咗刻意注入風險嘅案例，而且喺受控沙盒進行，結果亦係多個 model–harness 組合嘅總體數字。實際生產環境嘅任務比例、控制措施、接觸對抗性內容嘅程度、受保護資產，以及對「傷害」嘅定義，都可能唔同。研究真正證明嘅係：runtime safety 必須直接度量，而唔係預測每個部署一定會遇到同樣比例嘅問題。135

先限制代理出錯時可以造成嘅最大後果

安全控制嘅目的，唔係假設模型或者工具永遠唔會出錯，而係就算出現意外，後果都要盡量可控。

使用專用、最小權限身份

為每個代理、環境及 tenant 建立獨立身份。避免使用員工現成帳戶、生產環境管理員權限，或者可以廣泛重用嘅 secret。每個身份只應獲授完成單一工作所需嘅資源及操作權限。

收窄檔案系統及網絡範圍

• 只掛載專用 workspace root。
• 對無關路徑應直接拒絕存取，而唔係只係將佢哋隱藏。
• 對網絡 destination、方法、port，以及適用時嘅流量上限採用 allowlist。
• 分開 read、draft、staging-write 同 production-write 能力。
• 將 secrets 放入 broker 或短期 token 系統。
• 永遠唔好將長期 credential 放入 prompt、workspace 檔案、環境變數或 tool output。

刪除、發佈、付款、修改存取權、部署，以及對外發訊息等高影響操作，應經過 execution layer 嘅 policy check，或者要求明確批准。

審查完整執行鏈

攻擊面唔止係 first-party tools。Child process、shell command、生成程式碼、套件安裝、remote tool server、plugin 同 skill code，都可能造成實際副作用。

所有路徑都要套用同一套政策。尤其要防止 shell 或生成程式碼繞過檔案系統、網絡、授權、logging 或審批控制。

工具規則要喺模型以外真正執行

模型生成嘅 tool call 只可以視為不受信任請求。真正負責執行授權及安全規則嘅，應該係 tool server，而唔係模型。

工具 schema 應該收窄，並加入以下控制：

• 有界 enum 值及長度限制；
• 標準化路徑及清晰嘅 resource identifier；
• destination allowlist；
• pagination 同結果大小上限；
• 喺模型以外驗證參數；
• tool server 按實際 caller、tenant、target 及 operation 重新作伺服器端授權。

應將 planning 或 preview tool 同會產生實際效果嘅 tool 分開。對於破壞性或者難以逆轉嘅操作：

• 要求先 preview，再確認或提供 approval token；
• 優先採用 soft-delete、quarantine 或可逆流程；
• 使用 idempotency key；
• 預先定義同一個請求重試時會發生乜嘢；
• 回傳持久 receipt，避免重試再次造成同一個效果。

原因係，一個格式正確嘅 JSON tool call，仍然可以包含未獲授權嘅 target、危險路徑、過大權限範圍，或者本身就應該交由人審批嘅操作。

上線前先定義狀態及記憶點樣運作

狀態可能將風險由一個 turn、任務、用戶或者環境帶到另一個地方。機構應為 messages、上載檔案、workspace 檔案、summaries、tool results、caches 同 persistent memory 訂明並強制執行生命週期規則。

最少要清楚定義：

• 隔離： 按 user、tenant、task 同 environment 分開狀態，唔容許無意識嘅跨 session 分享。
• 保留： 訂明 TTL、加密、存取控制及刪除規則。
• 重設： 提供有文件記錄嘅方法，喺每次執行之間清除 context、memory、workspace state、credential 同 cache。
• 重試及 timeout： 設定次數及資源預算上限；重試必須保持 idempotency，亦唔可以靜默擴大權限。
• 並行： 為共用檔案、審批及外部操作定義 locking 同衝突處理方式。

重設狀態本身就係安全邊界。如果舊指令、credential 或 tool result 可以喺新任務中意外重新出現，模型升級或者 prompt 改動就可能令風險改變，而單靠測試回應內容未必察覺到。

所有風險載體都要當成不受信任輸入

Prompt injection 唔一定來自用戶直接訊息。帶有風險嘅指令亦可能藏喺：

• 上載文件及 repository 檔案；
• 檢索到嘅網頁；
• 外部 skill 同 plugin；
• tool service 回應；
• 持久記憶；
• 摘要及 cache context；
• 用戶提供嘅文字。

系統應將呢啲內容解析、標記及引用為資料，唔可以容許佢哋自行改變代理嘅權限、政策、工具選擇、credential 使用方式或者審批要求。呢種分隔應由 runtime 強制執行，而唔係完全依賴模型自行識別惡意指令。

針對每個 Harness 嘅上線清單

批准部署前，先凍結並記錄準確配置：

1. 模型及路由： model identifier 及版本、provider route、inference settings 或 effort level，以及 compatibility adapter。
2. Harness 行為： Harness 版本、system prompt、session 邏輯、retry 及 timeout 規則、subprocess policy，以及 memory 實作。
3. 工具及政策： tool 定義及版本、policy 版本、審批門檻、授權邏輯，以及 tool server 信任邊界。
4. 權限： 使用身份、scope、檔案系統 root、網絡 destination、credential 來源，以及 production-write 路徑。
5. 狀態語義： isolation、retention、reset、cache 行為、concurrency，以及跨 session 邊界。
6. 對抗性覆蓋： 經各種風險載體注入 prompt、confused-deputy 嘗試、credential 暴露、path traversal、SSRF 或 egress 濫用、惡意 tool response、重試重複執行、memory poisoning，以及繞過審批。
7. 證據： prompt 及 policy 版本、tool calls 及結果、審批、policy decisions、workspace diff、對外請求、使用身份、最終產物、完成結果，以及穩定 run ID 下嘅安全結果。

要將 completion 同 safety 分開評分。最終產物正確，唔可以抵銷執行期間造成嘅不安全副作用；呢點正正係 AgentS4D 結果最核心嘅提醒。12

配置一有變，就要重新測試

真正獲批准嘅對象，係一個鎖定版本嘅完整配置，唔係一個永久有效嘅標籤，例如「DeepSeek V4 Pro agent」。以下任何一項有重大變更，都應重新執行配置專屬測試套件：

• 模型或 provider route；
• inference settings 或 effort level；
• system prompt 或 adapter；
• Harness 或 session 邏輯；
• 工具或 remote tool server；
• 權限及審批政策；
• credential routing；
• memory、retry、timeout 或 concurrency 行為；
• 網絡或檔案系統邊界。

重點唔係籠統判斷「DeepSeek V4 Pro 安唔安全」，而係將 runtime safety 變成一個有證據、可重複、針對實際執行環境嘅 release decision。