工具注册框架好用？沙箱隔离才是Agent安全的关键

看到你提到参数校验和沙箱隔离这两块，我最近也在搭类似的系统，确实感同身受。参数Schema校验这块，我踩过一个坑：用JSON Schema做校验时，允许Agent传null值进来，结果下游数据库直接把某个非空字段给覆盖了，排查了半天才发现是校验规则没覆盖到边界情况。后来我改成强制要求所有字段必须显式声明是否允许null，才算稳了点。

不过你提到Agent会构造恶意参数绕过校验，这个我还没遇到过——能具体说说你是怎么发现这类攻击的吗？是Agent主动发起的，还是测试时模拟的？我猜可能是Agent在工具调用链中利用上下文拼接出超出预期的输入，比如把用户输入的shell命令塞进了文件路径参数里。如果是这样，除了沙箱隔离，有没有在参数层面做白名单过滤？比如对字符串参数只允许特定正则格式。

另外，你最后提到失败恢复策略被低估，这点我特别同意。我现在做的方案是把每次工具调用的输入输出都存成快照，如果后续步骤出错，可以手动回滚到某个快照点重新执行。但问题是，如果沙箱里已经产生了副作用（比如写文件、发请求），回滚就不好使了。你们是怎么处理沙箱内副作用恢复的？是直接限制沙箱只能读写临时目录，还是用事务性接口封装所有外部操作？这块我还没找到特别优雅的解法，想听听你的思路。