登入之後，誰能讀哪份資料：AI 助理的身分與授權
後端從可信認證取得操作身分，再依資源與動作判斷權限。用同租戶且本人擁有的工單政策，驗證允許、跨租戶與同租戶越權。
#access-control
13 篇文章Prompt Injection 的防線要放在哪裡？
把同一筆惡意工具提案交給不同執行路徑，分開檢查模型被帶偏與未授權副作用；提示標記、資料權限與動作批准各有不同工作。
MCP 的信任鏈：你到底信任了什麼？
分開驗證工具來源、完整定義、權杖受眾與下游動作；雜湊能發現描述變動，無法證明遠端程式維持相同行為。
模型輸出如何變成 XSS、命令與資料外傳？
先確認誰解讀模型輸出，再按 HTML、URL 與操作參數各自處理；JSON 合法、文字轉義與資源授權不能互相取代。
RAG 答對了，也可能洩漏別人的資料
每次檢索都帶可信使用者權限，在資料進入模型前過濾；快取命中與撤權後也要重新驗證資料依賴。
Agent 的沙盒、憑證與網路邊界
用作業系統限制實測合成檔案與網路，再獨立檢查短效、限資源的授權；程式內允許清單不是 OS 沙盒，通訊方式也不會限制程序能力。
如何知道防線有效：紅隊、回歸與運作監控
用獨立權限矩陣重播修補前後的真 HTTP，核對回應與稽核，再將模型評估、執行邊界與正式監控分開報告。
工具能呼叫，不代表這次動作有權執行
用一次工單匯出綁定使用者、資源、動作、目的地與批准，並測試參數替換、撤權、過期與重播。
AI 說有漏洞，你要拿出什麼證據？
把 AI 的建議當成待驗假說。保留實際輸入與回覆，核對目標資料和授權政策，再用正常與修補對照排除假陽性。
權限：怎麼確保 AI 不會把 A 部門的文件答給 B 部門
權限要在檢索時就過濾：每段文字帶著能看它的群組，查詢帶著使用者的群組，不符合的根本不進候選，而不是讓模型讀了再叫它別說。AI 不會新增權限，但會讓本來分享得太寬的文件變得一問就找得到，所以上線前要先整理過度分享。權限改了，索引不一定跟著改：有的連接器只在完整爬取時更新權限，最多延遲一天。過濾也有代價：條件很嚴時，某些向量資料庫會回傳不足的結果。上線前寫一題越權測試放進測試題。
私有語料查詢安全：ACL、刪除傳播與 freshness
私有搜尋的授權必須在候選生成前生效，並把 ACL、刪除事件與來源版本傳到每一份衍生索引；freshness 也要用可量測的事件時間與 SLA 管理。
私有語料搜尋的邊界與架構：先決定資料能去哪裡
私有語料管線的第一個決定不是選向量資料庫，而是列出資料分級、信任區、權限決策點與 freshness SLA；索引、模型和觀測系統都只能收到被允許的最小資料。
OpenClaw 頻道總覽：31 個頻道幾乎都是 plugin，以及「誰能觸發」與「模型看得到什麼」是兩回事
OpenClaw 支援 31 個聊天頻道，但只有 WebChat 在核心裡——連 Slack 和 WhatsApp 都是要裝的 plugin。而群組安全其實有兩個獨立的軸：allowlist 管的是誰能觸發 agent，不管模型會看到哪些引用與歷史，後者要另外設 contextVisibility。