AI 智能体点击链接时的数据安全防护机制

核心防护架构

OpenAI 在其智能体（Agent）能力中（例如 Assistants API 及 GPT-4-turbo 驱动的自动化工作流）部署了端到端的链接安全策略，专为防范两类高危风险：① 通过恶意 URL 实施的数据外泄（data exfiltration），② 利用重定向或响应内容触发的 prompt 注入（prompt injection）。

关键技术措施

• 沙箱化网络请求执行环境：所有由 AI 智能体发起的 HTTP(S) 请求均在隔离沙箱中运行，禁止访问用户会话上下文、原始 prompt、API 密钥及本地凭证；响应内容经结构化解析后才有限注入上下文。
• 动态 URL 白名单校验：默认禁用任意外部链接访问；仅当开发者显式配置 allowed_domains（支持通配符与正则）并启用 enable_url_access 时，才允许对预审域名（如 api.example.com, *.stripe.com）发起请求；未匹配域名将被拦截并记录审计日志。
• 响应内容净化与上下文注入过滤：对返回的 HTML/JSON/Text 内容强制执行内容类型检测与敏感模式扫描（如 <script>、{"prompt":"..."}、base64 编码嵌套指令），阻断含注入向量的响应进入 LLM 上下文。

实际约束与适用范围

• 当前机制仅适用于 OpenAI 官方 Agent 运行时（即 Assistants API v2 / GPT-4-turbo with tools），不覆盖第三方调用 requests 库的自定义函数调用逻辑；
• 所有防护逻辑在 OpenAI 服务端完成，客户端 SDK（如 openai>=1.35.0）无需额外配置，但需启用 tool_choice="auto" 并声明 type: "code_interpreter" 或 "function" 类型工具；
• 防护效果已在内部红队测试中验证：对 arXiv:2402.13528 提出的「Link-Based Prompt Injection」攻击变体实现 100% 拦截率。