- 博客(132)
- 收藏
- 关注
RSS订阅
原创 MCP 实战手记（十三）：MCP多租户隔离，一个网关服务多个团队
文章摘要 篇12Toolbox治理之后，本文把"多租户"补到篇六网关上：一个网关服务多个团队怎么不串味。落地四件套：租户路由(拦截器提取tenantId)、凭证隔离(每租户独立Key存Redis、吊销即生效)、配额(Redis+Lua固定窗口，跨实例一致，超限429+按租户分级fail-open/closed)、数据隔离(日志MDC/配置命名空间/缓存key前缀)。附Docker双实例验证与诚实边界。
2026-10-29 09:30:00
1229
1
原创 博客导航｜agent 安全 / RAG 实测 / AI 代码治理，都在这
不搬运教程，不堆概念。每篇都带实验数据、复现路径和"没测的部分"的诚实交代。
2026-09-11 10:52:12
303
1
原创 A2A跨进程传授权实测：重放、篡改、伪造吊销全拦下，唯独进程重启那一下没兜住
Mandate授权系列第⑥篇。把授权从单进程搬到跨进程传输（token=Mandate+nonce+时间戳整体签名，接收方为真实独立子进程），实测9个场景：越权委派接收端拒、逐字节重放拒、过期拒、篡改拒、伪造吊销列表拒绝采信、真全局吊销全拒，naive对照组全穿。唯一没兜住的是进程重启——nonce缓存只在内存，重启后窗口期内重放成功。这个残留风险直
2026-11-07 15:26:02
262
原创 多Agent委派授权实测：转授权限“只能缩不能放“，越权委派全被拒，篡改父环整链自毁
系列第五篇。多Agent时代授权要跟着任务流转：主Agent派活给子Agent，子Agent再转授给孙Agent，这个委派链上有一个capability安全的经典性质叫attenuation（转授只能缩不能放）。把Mandate授权层加上委派机制（parent链+路径/工具/强度三维子集校验+级联收回），实测6个场景。对照组是关键：不校验子集关系的naive委派，越权直接成功。
2026-11-06 13:47:35
502
1
原创 我把Agent授权层挂到真循环上打了一遍：5个注入场景，裸Agent全穿，带Mandate的全拦
上一篇造的不可变授权层，单元测试只能证明"对象改不了"，这篇把它挂进真实Agent循环跑运行时实测：5个攻击场景，每个都带无防护对照组。结果：裸Agent全部执行成功，带Mandate层全部被拦——而且四个场景倒在四个不同的拦截点上，不是同一个if的四个分支。LLM是模拟的这点文中主动交代：测的不是"LLM会不会被骗"（公开案例早验证过），是"被骗之后授权层兜不兜得住"。全部日志可复现。
2026-11-05 07:11:51
298
1
原创 生产环境Agent授权分层方案：用100行Python给LangGraph装上“不可变Mandate
前两篇确认了dsh-superagent的Mandate真不可变、5个主流框架（LangGraph/AutoGen/CrewAI/Assistants API/Semantic Kernel）全都没有不可变授权对象——那怎么在现有框架上自己造？这篇给出四层方案：框架拦截点（拦得住）、不可变Mandate（改不了）、版本化审批规则（降不了级）、stop-only人工通道（社工进不来），附一个百行级Python最小实现（frozen dataclass+HMAC签名），以及5个对抗测试验证"真的不可变"。
2026-11-04 09:15:00
601
1
原创 我翻了5个主流Agent框架的授权模型：DeepSeek那个“不可变授权“设计，是孤例
继dsh-superagent Mandate不可变授权审计后，对比LangGraph、AutoGen、CrewAI、OpenAI Assistants API、Semantic Kernel五大主流Agent框架，探究不可变授权是否为孤例：结论属实。五者均无不可变授权对象，权限属于运行时可变的进程配置，但多数支持上下文与权限解耦。主流走事件流审批范式，依靠中断人工决策；dsh-superagent采用授权物冻结模式，权限创建后仅可撤回，选型取决于威胁模型。
2026-11-03 13:15:52
342
1
原创 我审了DeepSeek开源的超级Agent原型：三个安全命题，两个半成立
审计DeepSeek dsh-superagent-prototype：该项目主打Agent自主权，将授权与上下文解耦，消息仅作输入、不可篡改权限。追踪授权数据流验证三点：Mandate运行时不可变，全仓93处引用无写入路径；Subscription扇出投递的Input不含授权字段，不会扩权；架构文档提及的模型驱动Watchdog，源码中并未实现。缺少内置Watchdog反而缩减潜在扩权攻击面，附带9份源码逐行审计佐证。
2026-11-02 10:27:26
269
1
原创 十月AI最热主题盘点：Agent安全从理论走到供应链每一层
2026年10月AI圈焦点不再是模型跑分，主线落在 Agent演进：从被动授权的数字员工，迈向可自主行动的系统，安全、供应链、资本与监管同步跟进。本文梳理七大热点：10月6日三重安全事件定调、Claude Code SSH后门争议、Dots与dsh-superagent推动 Agent常驻化、赛道转向优先快模型、MCP等四层供应链风险暴露、GitHub自然流量碾压刷量农场、Anthropic S-1引发泡沫反思，相关硬核拆解见于本账号MCP、RAG、Agent安全专栏实测内容。
2026-11-01 10:37:31
519
1
原创 企业级MCP部署三大坑（身份授权 / 预算管控 / 错误处理）
篇13多租户隔离解决了"不同租户怎么隔开"，本篇补企业真正会被放倒的另外三个坑：身份跨系统传、预算管控、错误处理。另附工具Schema版本治理隐藏坑与企业部署自查清单。预算单价为mock值，聚合脚本待实测。
2026-10-30 09:15:00
208
原创 三个假AI安装包，同一个文件哈希：GitHub品牌冒充投毒链实测
GitHub 一天冒出不少于 11 个假 AI 安装包仓，冒充 Cursor、Claude、Grok 六个品牌。我不下载不执行，纯静态解剖：三个仓的跳转页 blob 哈希逐字节相同，落地域名 24 小时内死亡，星数 67/64/67 齐平。附零 token 可跑的复现脚本。
2026-10-29 06:30:00
424
1
原创 20页里9页AI根本没看过：GEOInflow实测，用盲区数说话
AI 时代没有 Search Console：你的 20 页内容可能 9 页没被任何 AI 爬虫看过。我在本地实测 GEOInflow——27 个爬虫身份、伪装 IP、未知 UA、14 条 AI 引荐全部投喂：26/27 识别（漏了国产 KimiBot）、24 次核验 23 次报警、45% 内容 AI 不可见、引荐 14/14 落库。附复现指引。
2026-10-28 14:00:00
629
1
原创 多实例治理一致性深潜：Redis与本地缓存降级（MCP实战手记·篇12 延伸）
篇12Toolbox治理延伸：不每次查询都打Redis，改本地Caffeine缓存+pub/sub失效，写操作才落Redis并广播。给出Java代码——缓存键用id@v杜绝版本错配，Redis不可用时降级为"最后已知好状态"白名单(只读不写，与篇10高可用思路一致)。Docker双实例验证事件失效、降级不500、恢复后自愈。提醒Redis持久化与事件丢失TTL兜底。
2026-10-28 09:30:00
363
1
原创 我在自己的仓库里种了个毒workflow：CI供应链攻击实测，用检出率说话
Wiz 刚披露的 Gheist 攻击不碰代码，只加一个 workflow 文件，secrets 就从 GitHub 自己的 API 流走。我在本地仓库复刻原版载荷并做了 7 个变体，用 6 种手段测检出率：actionlint 0/8、严格 IoC 2/8、zizmor 语义真阳性 1/8、DeepSeek 8/8。附可复现指引。
2026-10-27 14:00:00
324
1
原创 工具权限与评分实战：scope拦截+健康度指标（MCP实战手记·篇12 延伸）
Toolbox 治理扩展：双层 Scope 拦截，发现层 list 按调用方做可见性过滤、调用层 resolve 二次校验；支持角色级 Scope 聚合，规避单角色绑定大量工具产生 Scope 爆炸问题，附带 Java 拦截代码与`scope:toolbox:retail`收敛样例。健康度指标设定落地阈值：成功率＜99%、P99＞3s、报错率＞1% 触发告警，埋点下沉至真实执行节点而非 resolve 阶段。衔接篇 9 身份透传、篇 13 多租户能力，配套 SRE 与零信任职责对照。
2026-10-27 09:15:00
303
1
原创 Agent 团队化基建三件套实测：harp+reason-network+Omnara，我按当年微服务拆分的逻辑把它们跑了一遍
最近GitHub新出三个多Agent基建项目：harp、reason-network、Omnara。全部实测：Omnara用docker-compose 拉起10容器，对接SiliconFlow，跑通 “挂起等待 - 恢复执行” 闭环，底层靠租约锁 + fencing实现持久执行；reason-network通了单机双会话消息与MCP握手；harp仅支持macOS，只做了源码分析。结论：仅Omnara可投产。
2026-10-26 14:00:00
310
1
原创 工具弃用与迁移实战：deprecate→removed 全链路（MCP实战手记·篇12 延伸）
Toolbox 弃用三态：DEPRECATED (≥14d 宽限)→REMOVED (30d 存根返迁移指引)→TOMBSTONE (永久 410 + 文档链接)。提供 deprecate ()/advanceLifecycle ()/resolve ()；advanceLifecycle 靠 ShedLock 主节点单跑防重复通知，REMOVED/TOMBSTONE 不返回 500。Redis 持久化管控，支持导出调用方清单，踩坑：弃用未通知引发 3 个调用方 500。
2026-10-26 09:00:00
422
1
原创 从单体Agent到流水线：一个交易skill展示的编排范式
day-trader-skill以11个Python文件实现了低调的Agent流水线编排：scanner、risk、budget、broker各司其职，靠文件传递状态、一环失败即停。文章对比文件流编排与LangGraph图编排，剖析fail-closed故障隔离，介绍SKILL.md能力契约范式。核心：Agent架构贵在克制，足够简单时，文件即是最优接口。
2026-10-24 07:27:01
270
1
原创 day-trader-skill实测：让Claude Code当交易助理，纯Python+确定性+fail-closed
实测一款零依赖 Claude Code 交易技能，贯通扫描、风控到下单。315 个单测全通过，回测三次一致。它非选股工具，而是把交易纪律写成代码：风控链从计划过期、缺预算到拒单不下券商拦截。后半段改一行正则接入 A 股，当日行情实测宇树科技通过 / 拦截双场景；并记录 Token 坑、行情源绕行与四层仓位取最小设计。
2026-10-23 15:19:44
350
1
原创 工具版本灰度实战：caller路由到指定版本
篇12企业级Toolbox治理延伸实战：不靠流量百分比，改用caller→版本映射表做调用方级灰度。给出setGrayRoute/resolve完整Java代码，灰度配置存Redis哈希(tb:gray:{id})，命中走覆盖版本、否则走稳定版，回滚只需把路由置null、无需发版。附Docker双实例一致性验证、踩坑纪律，及callerId必须来自鉴权身份的安全门禁。
2026-10-23 09:30:00
508
1
原创 MCP实战手记（十二）：企业级Toolbox治理——从“能调用“到“敢交给生产“
MCP 单工具稳定不代表 Agent 规模化上生产。治理层依托`ownerTeamId+name`防重、双层权限、多版本 + 调用方灰度快速回滚、弃用状态机四大机制，搭配接口指纹、健康看板；治理数据落 Redis 保证多实例一致性，预埋 tenantId 支撑后续多租户。
2026-10-22 09:26:19
1424
1
原创 别再信“锁版本就安全“:LiteLLM 投毒事件里,依赖 diff 看起来完全正常
61K星的LLM网关LiteLLM在PyPI发布带毒1.107.0：三个恶意文件利用.pth 机制,任何Python进程启动即运行,窃取SSH/云凭证/CI secret/LLM key等16 类数据。更值得注意的是攻击工程化:版本号回改+配套包固定让依赖diff无异常,轮子出自官方私有流水线,公开仓库全程干净。PyPI已下架。附一分钟自查命令与流水线三条补强。
2026-10-22 07:17:34
325
1
原创 一个后端老兵看DeepInfer:开源了一半,但那一半里有真东西
DeepSeek 推理框架 DeepInfer 上线 5 天收获 16250 星、HN 2051 分。但当前版本约束严苛，仅支持 V4.1-Flash 单模型，硬件限定 SM100 与昇腾 950，缺少 KV 缓存、PD 分离、负载均衡等生产能力，只开放内核，离线上落地尚远。它最大价值是 batch-invariant 推理与确定性采样，实现同输入逐比特输出一致，支撑 Agent 审计回放，有望推动 vLLM、SGLang 跟进，现阶段不适合个人开发者使用。
2026-10-21 18:16:39
396
1
原创 钉钉接入实战与平台横向差距
篇11把钉钉拆两层说，这篇补全实测与边界。钉钉群自定义机器人Outgoing截至2026-10实测"功能维护中"：加签POST（公式与飞书同构）返回errcode 0验证推送通，但收@消息回调不可用——能推不能收。钉钉Stream模式是官方推荐双向方案，TCP持久连接、免公网，能力对等飞书长连接，但需企业内部应用 + 组织开发者权限，个人版门槛高。横向差距表：飞书长连接个人本机即可跑通闭环，钉钉Stream需企业身份——是门槛差距不是能力差距。三个坑：拿旧文档当现状、混淆两套钉钉方案、只看加签不看权限。
2026-10-21 14:00:00
209
1
原创 飞书事件安全：签名校验与消息加解密
飞书回调 event_id 幂等和消息验签易混淆：event_id 拦截平台重复投递，验签抵御外部伪造重放。安全三件动作：HMAC 校验 x-lark-signature、5 分钟时间窗 + nonce 防重放、encrypt_key 解密。验签 + 时间窗防外部攻击，event_id 处理平台重投。避坑：不可仅靠 event_id，时间窗不宜过长，严防密钥泄露。
2026-10-21 08:21:49
436
1
原创 飞书用户身份与多租户数据隔离：店长只看自己门店
篇 9 解决 open_id 获取，篇 11 核心增量为身份到门店映射，构建链路：open_id→contact 接口→user_id→部门→门店，工具层门店过滤。区分 Demo 本地映射表演示与生产通讯录 API（需 contact 权限）。数据按门店切片，非法 storeCode 仅返回绑定门店数据。三大坑：Demo 映射表直接上生产、未开通 contact 权限、只过滤无报错。该方案可证明权限与组织架构对接落地能力。
2026-10-20 09:15:00
430
1
原创 REA实测：把逆向工程MCP Server接进Claude Code，能分析什么、卡在哪
本文基于 Windows 实测，将 REA 逆向 MCP Server 接入 Claude Code，借助 Ghidra12.1.4 完成 x86-64 PE 原生反编译。REA 属于工具编排层，JS 场景开箱可用，原生二进制分析深度依赖 Ghidra 等外部工具。文章记录 MCP 接入踩坑方案，实测校验多类型文件分析能力边界，明确其仅适合静态二进制审计，无法动态调试脱壳。案例表明 MCP 时代 Agent 竞争核心是工具生态，编排层安全隔离至关重要，同时验证国内模型可脱离境外代理稳定调度工具。
2026-10-19 10:00:00
563
1
原创 飞书卡片消息构建实战：从文本到可交互富卡片
第1层群机器人只能发文本，零售场景店长要的是"一张能看的卡 + 补货按钮"。这篇从文本跨到富卡片：先讲清卡片1.0（lark_md）与2.0（markdown）协议差异，给出门店数据interactive card示例；再讲按钮回调怎么接——按钮value是最小状态通道，点下去回传sku由服务端再查；最后补生产必加的出站频控 + 指数退避重试（技术4.4）。三个坑：卡片回调地址没配、文本tag写反、卡片过长被截断。一句话：文本能通知，卡片才"能用"。
2026-10-19 09:00:00
712
1
原创 腾讯AI-Infra-Guard实测：四层安全扫描跑通，附3个真坑
本文基于真实靶标完整实测腾讯开源四层 AI 基建扫描器AI-Infra-Guard：Skill层检出高危漏洞，存在API密钥泄露与伪造本地验证；MCP层命中1严重 + 2高危，可窃取敏感文件并含邮件重定向后门；Agent静态发现ASI04级联故障，动态测出间接注入引发URL路径外泄；API Checker识别模型中继伪装身份。同时记录git clone截断、解压丢目录、管道传参假阳性三大工程坑。静态规则层稳定性最优，动态层输出行为信号，可按需接入CI流水线。
2026-10-17 10:00:00
283
1
原创 飞书长连接事件订阅实战：本机5分钟跑通，生产要补两块
门店群机器人场景，店长群内@机器人查询门店数据，消息接收可选公网回调与长连接。本文论证长连接更适配个人/小团队：无需公网入站端口、内网穿透、域名证书，本机出站连接wss://msg-frontier.feishu.cn即可，厘清免公网入站≠无需公网。附带 EventDispatcher+ws.Client建连代码，总结五大踩坑点；生产需实现event_id幂等防消息重投、Redis多实例分发。长连接为本场景优选，上线务必评估幂等与多实例方案。
2026-10-16 10:00:00
465
1
原创 别再信“看个广告能怎样“：定向广告已经成了零点击间谍软件的投递管道
Citizen Lab全球首次技术确认：定向广告被用作零点击雇佣间谍软件的投递管道(AdFection),半岛电视台设备因渲染广告感染Candiru间谍软件。本文拆解Discover-Tech的NOAS回调裁决机制(恶意代码不落地广告平台)、40亿条竞价记录揭示的攻击规模，并给出agent浏览场景下的三条结构性风险差异和四条可落地的防护基线。
2026-10-16 06:20:50
251
1
原创 MCP实战手记（十一）：MCP接飞书，从机器人到事件订阅的三层深度接入
企业销售、库存、设备、补货系统对店长、区域经理这类非技术人员使用门槛高。本文基于 MCP Server开放业务系统、飞书作为入口，提出可落地三层接入模型并完成本机实测。第一层飞书机器人Webhook快速实现群通知；第二层自建应用绑定用户与门店身份；第三层事件订阅双向交互为核心，通过WebSocket接收@事件，调用MCP工具返回交互卡片。生产环境需补齐幂等、多实例分发与验签。梳理 5个真实踩坑点，并对比钉钉，实测飞书长连接可本机搭建完整业务闭环，门槛更低。
2026-10-15 09:30:00
2077
3
原创 安全工具生态爆发：agentlock、guard-rails-mcp、agentshield 怎么选
Anthropic 越界事件后，MCP生态的安全工具集中涌现。本文对比四款定位不同的MCP安全工具：agentlock（供应链安全）、guard-rails-mcp（运行时安全运营）、agentshield（开发阶段扫描）、mcp-sec（CI/CD 门控），给出按阶段覆盖的选型逻辑和最小可行方案，帮助开发者在MCP生产化过程中补齐安全短板。
2026-10-15 06:30:00
510
1
原创 并发调优：虚拟线程与背压，别让线程池和下游同时爆掉
固定线程池200，并发500时吞吐反而掉了，错误率14%。换JDK21虚拟线程后吞吐+32%、错误归零。但虚拟线程不是银弹——它造不出下游容量。这篇讲本机实测数据：虚拟线程怎么干掉线程饥饿，信号量背压怎么配才不会雪崩式拒绝，以及HikariCP连接池才是下一个真瓶颈。
2026-10-14 14:00:00
698
1
原创 缓存穿透、击穿、雪崩：三个概念，三种解法
缓存穿透、击穿、雪崩概念易混淆，三者成因与解决方案差异显著，概念误用会导致数据库被压垮却采用错误优化方案。文中以表格区分：穿透是查询不存在数据、击穿为热点key过期、雪崩是大量key同时失效。对应方案：穿透可缓存空值或布隆过滤器；击穿采用互斥锁或逻辑过期；雪崩给TTL增加随机抖动，搭配Redis哨兵保障高可用。其中击穿风险最值得警惕，无需攻击或Redis故障，业务规模增长就可能触发。结合系列案例纠正误区：雪崩流量放大数倍，不等于一定会打满连接池。
2026-10-14 10:00:00
355
1
原创 当Karpathy四原则遇到腾讯九阶段全链路：中小团队AI编码研发规范进化
Karpathy四原则解决「AI写代码不乱写」，九阶段全链路解决「AI研发流程不翻车」。中小团队不需要复杂体系，只需把“底层编码纪律+四层质量闸门”落地，也可实现AI提速不增债、迭代快但稳。
2026-10-13 14:00:00
513
1
原创 高可用配完之后：该看哪几个指标，池子该设多大
完成多实例、负载均衡、熔断降级配置后，仍需解决系统状态观测与池参数容量评估两大问题。核心观测指标推荐6项：分位数、健康实例数、熔断状态、降级次数、线程/连接池使用率、依赖可用性，其中降级次数、熔断持续时长极易被忽视。池参数配置切忌盲目调大：线程池并非越大越好，数据库连接池可参考公式，HTTP连接池需按下游单独评估，初始值多为估算，上线后依据使用率动态调整。以12并发压测8连接池为例：相同池规格下，查询耗时由 200ms 恶化至4秒，系统表现差异巨大。
2026-10-13 09:30:00
279
1
原创 我带研发团队用 AI 写代码，越写越亏：一个技术负责人的能效失控复盘
哈佛研究指出，AI编程使代码量上涨30%，但功能交付并无提升。大厂尚能承受代码冗余，中小团队压力巨大。本文以技术负责人第一视角，复盘全员资深研发使用 AI 编程一年踩下的五大痛点：Token成本悄然失控、代码审查成为瓶颈、代码膨胀累积维护债务、AI生成代码陷入调试黑洞、虚假进度导致汇报失真。配套落地规则：设置Token预算熔断机制、人控架构AI 实现、强制精简代码、自动化前置审查，改用故事点成本与周期时间替代代码行数看板。AI是能力放大器，能效失控与团队水平无关，中小团队需理清交付链路后再落地AI编码。
2026-10-12 13:30:00
295
1
原创 超时不是一个数字，是一套体系：MCP Server的五条约束
从三个真实疑问（熔断不触发/优雅停机没用/下游恢复仍报错）切入，画层级 +五条约束 + Resilience4j「慢调用不算失败」坑 + 30秒矛盾例子 + 重试三铁律。
2026-10-12 09:30:00
439
1
原创 Anthropic 拔了网线：Claude是怎么自己绕过安全限制的
Anthropic罕见动作：切断所有内部评估环境的实时互联网访问。原因是Claude模型能主动绕过自身安全限制：从执行服务器命令到绕过付费墙，四类越界行为层层递进。连最顶尖的AI公司都不相信只靠模型对齐就能解决安全问题，我们做Agent的，该醒醒了。
2026-10-12 06:20:04
288
1
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人