Google 以 Agent Development Kit 打造零信任 AI Agent，拿掉系統提示詞這道最後防線
Google Developers Blog · 2026-08-17
Google Developers Blog 在 2026 年 8 月 17 日發布文章，說明如何用 Agent Development Kit（ADK）建構「零信任」的 AI agent 架構。文章的出發點是：當 agent 能直接寫入資料庫、動態產生並執行程式碼時，一旦 LLM 被提示注入（prompt injection）攻破，寫在系統提示詞裡的安全規則就形同虛設。零信任架構假設 LLM 本身隨時可能被入侵，因此把安全邊界從模型輸出，下放到基礎設施層。
背景：系統提示詞守不住寫入權限
過去多數 agent 的安全設計仰賴一份寫在 prompt 裡的規則清單，例如「不要刪除資料」「只能存取白名單網域」。這種做法的弱點在於，規則的執行者正是同一個可能被攻破的模型；只要攻擊者誘導模型「忘記」或「重新解讀」規則，防線就整個失效。文章的核心論點是安全機制不能只存在於 prompt 裡，必須搬到模型控制不到的地方，也就是簽章、沙箱與閘道這類基礎設施元件。
核心改動：三層基礎設施防線
第一層是加密寫入簽章：agent 對資料庫的每一次寫入，都用 Cloud KMS 或硬體安全模組（HSM）持有的硬體背書金鑰簽章，確保操作不可否認、且可被事後稽核。第二層是核層級的程式碼隔離：agent 動態產生的程式碼在 gVisor 沙箱中執行，對外網路連線全部關閉、Linux capability 全部拔除。第三層是決定性語意閘道，一個反向代理層，用寫死在 CI/CD 測試套件裡的規則驗證輸入輸出，攔截 jailbreak 或 PII 外洩，而不是讓模型自己判斷輸出是否安全。
docker run --runtime=runsc --network=none --cap-drop=ALL \
agent-codegen-sandbox
這套架構搭配的是目前已 GA 的 ADK 2.0，同時支援 Python、TypeScript/JavaScript、Go、Java、Kotlin 五種語言，並內建 graph workflow 與多 agent 協作能力。Google 也在 GoogleCloudPlatform/generative-ai 儲存庫放出對應的零信任 agent 參考實作，涵蓋簽章驗證與沙箱設定的完整範例。三層防線都獨立於 LLM 的輸出之外運作：即使模型被完全騙過，寫入仍需要合法簽章、程式碼仍跑在無網路沙箱裡、輸出仍要通過閘道驗證。
原始來源：Google Developers Blog、Agent Development Kit 文件、零信任 Agent 範例庫
Claude 在 Microsoft Foundry 補上五項能力，但代價是換一種部署方式
Microsoft Foundry Blog · 2026-08-17
Microsoft Foundry Blog 於 2026 年 8 月 17 日宣布，結構化輸出、Web Search、Web Fetch、MCP Connector、Tool Search 五項 Claude 能力現在能在 Microsoft Foundry 上使用。這五項功能先前只能透過原生 Claude API 呼叫，Foundry 上的 Claude 部署一直缺席。文章把這次更新定調為補齊 Foundry 與原生 API 之間的功能落差。
背景：Hosted on Azure 一直缺這五樣工具
Foundry 上的 Claude 部署分成兩種：Hosted on Azure（推論留在 Azure 基礎設施內）與 Hosted on Anthropic（Foundry 只負責計費與入口，推論仍跑在 Anthropic 自己的基礎設施）。根據 Anthropic 官方的 Claude in Microsoft Foundry 文件，結構化輸出、伺服端工具（web search、web fetch、code execution、tool search）與 MCP connector，過去都被列在「Hosted on Azure 不支援」清單裡。這次開放的對象其實是 Hosted on Anthropic 部署，選擇 Azure 資料落地的客戶目前仍拿不到這五項能力。
核心改動：五項工具與各自的版本號
依照 Anthropic 的 Web search 工具文件與 Web fetch 工具文件，Web Search 目前有三個版本、Web Fetch 有四個版本，分別對應不同的 dynamic filtering 與快取行為：
| 工具 | 版本 | 新增能力 |
|---|---|---|
| Web Search | web_search_20250305 | 基本搜尋 |
| Web Search | web_search_20260209 | Dynamic filtering（搜尋結果先經 code execution 篩選再進 context） |
| Web Search | web_search_20260318 | response_inclusion 控制回應內容 |
| Web Fetch | web_fetch_20250910 | 基本擷取網頁與 PDF |
| Web Fetch | web_fetch_20260318 | Dynamic filtering ＋ response_inclusion |
Tool Search 讓工具數量超過 30 到 50 個的 agent，改用 regex 或 bm25 比對再載入工具定義，避免把所有工具說明一次塞進 context；MCP Connector 則讓 Foundry 上的 Claude 直接連上 Model Context Protocol 伺服器，不必自己刻用戶端。這些工具的呼叫介面與原生 Claude API 完全一致，差別只在於部署到 Foundry 時要選對 Hosted on Anthropic，否則請求會回傳 400 Bad Request。
{
"type": "web_search_20260318",
"name": "web_search",
"max_uses": 5
}
原始來源：Microsoft Foundry Blog、Claude in Microsoft Foundry 文件、Web Search 工具文件、Web Fetch 工具文件