DeepSeek V4 Pro 的 Agent 安全，關鍵不只在模型，而在執行框架

企業部署 DeepSeek V4 Pro Agent 時，不應只問「這個模型是否安全」，而應評估完整的 模型–Harness–任務–環境組態。

DeepSeek V4 Pro 透過網頁、行動 App、API、OpenAI Responses API 或 Codex 等介面提供服務，最多只能說明介面或協定具備相容性；它無法證明不同執行端的提示詞、工具、權限、記憶、重試機制與外部副作用完全一致。

實務上的原則很簡單：只有在特定、已鎖定版本的組態通過自身安全評估後，才應核准該組態上線。

為什麼 Harness 會改變 Agent 的實際風險

Agent 不只是底層模型。Harness，也就是負責串接模型、工具與執行環境的框架，會決定模型如何接收指令、選擇工具、讀取資料、處理失敗，以及對外部系統造成影響。

不同 Harness 之間可能存在以下實質差異：

• 系統提示詞與轉接層（adapter）；
• 工具定義與工具實作；
• 權限範圍與人工核准閘門；
• 檔案系統根目錄與網路存取範圍；
• 憑證來源與所使用的身分；
• 子程序與產生程式碼的執行方式；
• 重試、逾時與並行邏輯；
• 工作階段狀態、摘要、快取與持久記憶。

因此，同一個 DeepSeek V4 Pro 後端，經由不同 Harness 或執行環境運作時，可能呈現不同的風險輪廓。API Schema 相容是整合層面的特性，不是安全認證。

AgentS4D 的結果：完成任務不代表安全

AgentS4D 評估的是完整的執行組態，而不是孤立的模型回覆。這項基準測試以 328 個注入風險的案例，測試 4 個 Agent Harness 與 5 個模型後端，共執行 6,560 次沙盒測試。其中 4,461 次被判定為不安全，占 68.0%；另有 4,344 次同時被判定為不安全且完成任務，占全部測試的 66.22%。13

最值得注意的結論是：任務成功完成，可能與不安全的執行行為同時發生。

Agent 可能產出要求的檔案或程式碼，但過程中也可能：

• 做出被禁止的變更；
• 不當處理敏感資料；
• 繞過原本預期的控制措施；
• 產生其他不安全的外部副作用。

這些數字不能直接當成 DeepSeek V4 Pro 的生產事故率。測試使用的是刻意注入風險的案例，並在受控沙盒中進行；結果也彙整了多種模型–Harness 組合。實際生產環境的任務類型、控制措施、對抗性內容暴露程度、資產種類與傷害定義都可能不同。這項研究證明的是：執行環境的安全性必須直接測量，而不是預測每一個部署場景都會出現相同比例的問題。135

先限制 Agent 行動可能造成的最大損害

安全控制的目標，不只是要求模型「不要犯錯」，更要讓模型或工具即使出現非預期行為，錯誤的後果也被限制在可控範圍內。

為 Agent 使用專用、最小權限身分

為不同 Agent、環境與租戶建立分離的身分。避免使用員工目前登入的憑證、生產環境管理員權限或可廣泛重用的密鑰。每個身分都應限制在單一工作所需的資源與操作範圍內。

限制檔案系統與網路

• 只掛載專用的工作區根目錄；
• 讓無關路徑實際上不可存取，而不只是從介面中隱藏；
• 對網路目的地、方法、連接埠，以及必要時的外傳流量設定允許清單；
• 分離讀取、草稿、預備環境寫入與生產環境寫入權限；
• 將秘密資訊放在憑證代理或短期 Token 系統中；
• 絕不要把長期憑證放進提示詞、工作區檔案、環境變數或工具輸出。

刪除、發布、付款、變更存取權、部署或對外發送訊息等高影響操作，應經過執行層的政策檢查，或要求明確的人工核准。

檢查完整的執行鏈

攻擊面不只存在於第一方工具。子程序、Shell 指令、產生的程式碼、套件安裝、遠端工具伺服器、外掛與技能程式碼，都可能造成外部副作用。

同一套政策必須套用到所有路徑。尤其要防止 Shell 或產生程式碼繞過檔案系統、網路、授權、日誌與核准控制。

讓工具在模型之外真正執行規則

模型產生的工具呼叫，只能視為不受信任的請求。真正的授權與安全規則，必須由工具伺服器執行，而不能只依賴模型自行判斷。

工具 Schema 應盡量狹窄，並加入以下控制：

• 限制列舉值與字串長度；
• 正規化路徑並要求明確的資源識別碼；
• 設定目的地允許清單；
• 限制分頁數量與結果大小；
• 在模型之外驗證參數；
• 由伺服器針對特定呼叫者、租戶、目標與操作重新執行授權檢查。

應將規劃或預覽工具，與會實際產生效果的工具分開。對於具破壞性或難以逆轉的操作：

• 要求預覽，以及確認或核准 Token；
• 優先採用軟刪除、隔離或可逆流程；
• 使用冪等性金鑰（idempotency key）；
• 明確定義同一請求重試時的處理方式；
• 回傳可持久保存的執行收據，避免重試重複造成相同效果。

這些控制之所以重要，是因為格式正確的 JSON 工具呼叫，仍可能包含未授權目標、危險路徑、過大權限範圍，或本來就應交由人工審核的操作。

上線前定義狀態與記憶的生命週期

狀態可能把風險跨回合、跨任務、跨使用者甚至跨環境帶過去。企業應為訊息、上傳檔案、工作區檔案、摘要、工具結果、快取與持久記憶訂定並強制執行生命週期規則。

至少應明確定義：

• 隔離： 按使用者、租戶、任務與環境分離狀態，不允許跨工作階段的隱式共享；
• 保留： 訂定存留時間、加密、存取控制與刪除規則；
• 重設： 提供文件化流程，在每次執行之間清除上下文、記憶、工作區狀態、憑證與快取；
• 重試與逾時： 設定次數與預算上限；重試必須維持冪等性，也不能悄悄擴大權限；
• 並行： 為共享檔案、核准流程與外部操作定義鎖定及衝突處理方式。

狀態重設行為本身就是安全邊界的一部分。如果舊指令、憑證或工具結果可能意外出現在新任務中，模型升級或提示詞變更就可能帶來只靠回覆測試無法發現的新風險。

把所有風險載體都視為不受信任輸入

Prompt injection 不一定來自使用者直接輸入。可能攜帶風險指令的內容包括：

• 上傳文件與程式碼儲存庫檔案；
• 擷取的網頁；
• 外部技能與外掛；
• 工具服務回應；
• 持久記憶；
• 摘要與快取上下文；
• 使用者提供的文字。

這些內容應被解析、標記並以資料形式引用，不得用來改變 Agent 的權限、政策、工具選擇、憑證使用方式或核准要求。這個隔離應由執行環境強制落實，而不能只期待模型自行辨識惡意指令。

一份針對 Harness 的上線檢查表

在核准部署前，先凍結並記錄確切組態：

1. 模型與路由： 模型識別碼與版本、供應商路由、推理設定或運算強度，以及相容性轉接層。
2. Harness 行為： Harness 版本、系統提示詞、工作階段邏輯、重試與逾時規則、子程序政策，以及記憶體實作。
3. 工具與政策： 工具定義與版本、政策版本、核准門檻、授權邏輯，以及工具伺服器的信任邊界。
4. 權限： 身分、權限範圍、檔案系統根目錄、網路目的地、憑證來源與生產環境寫入路徑。
5. 狀態語意： 隔離、保留、重設、快取行為、並行處理與跨工作階段邊界。
6. 對抗性測試： 涵蓋所有風險載體的 Prompt injection、混淆代理攻擊、憑證暴露、路徑穿越、SSRF 或外傳濫用、惡意工具回應、重試重複、記憶投毒與核准繞過。
7. 證據： 在穩定的執行 ID 下保存提示詞與政策版本、工具呼叫與結果、核准紀錄、政策決策、工作區差異、對外請求、使用的身分、最終產物，以及完成結果與安全結果。

務必將任務完成度與安全性分開評分。正確的最終產物，不應抵銷過程中發生的不安全副作用；這正是 AgentS4D 結果最重要的提醒。12

組態一變，就要重新測試

真正獲得核准的對象，是已鎖定的完整組態，而不是「DeepSeek V4 Pro Agent」這個永久不變的標籤。以下任何項目出現重大變更，都應重新執行組態專屬的安全測試：

• 模型或供應商路由；
• 推理設定或運算強度；
• 系統提示詞或轉接層；
• Harness 或工作階段邏輯；
• 工具或遠端工具伺服器；
• 權限與核准政策；
• 憑證路由；
• 記憶、重試、逾時或並行行為；
• 網路或檔案系統邊界。

如此一來，執行期安全就不再是對模型品質的籠統假設，而會成為一項與實際可能產生外部效果的環境直接掛鉤、可量測的上線決策。