jianf/HomeAgent
1
0
Fork 0
mirror of https://gitcode.com/JianFeeeee/HomeAgent.git synced 2026-11-07 01:37:34 +00:00
Code Issues Packages Projects Releases Wiki Activity

fix(security): 父为子声明工具策略 —— 修正上一版「子继承父权限」的错误模型

Browse Source 
## 上一版错在哪

上一版（1d007e1）给子 agent 加了 `Security: a.security`，判据也钉的是
「子持有**同一个** Runtime 实例」。

那只保证了**机制**到位，却把权限模型写错成了「子 = 父的完整权限」。
用户裁定：**应当是父 agent 为子 agent 声明策略**。

区别是实质的：

	错的模型：父能调 cmd_* ⇒ 子也能调 cmd_*（子只受全局策略约束）
	对的模型：父在创建子时决定这个子能调什么，内核持有并执行，子不能自己扩大

驻留子长期无人盯、rtchild 通话中一边听一边执行工具 —— 它们恰恰最需要
**比父更窄**的权限，而不是与父等权。

## 这不是新机制，是没接线的旧机制

`security.Runtime` 里早就有：

	CheckToolFor(p Principal, tool)              // 按主体判定
	PrincipalPolicy{AllowTools, DenyTools,       // 主体策略
	                HardPrivateTools}
	DeclarePrincipalPolicy(scope, key, policy)   // 声明入口

而 `codegraph_callers("CheckToolFor")` = **0 个生产调用方**
（与工具策略闸、ScanContent 同型：机制完整、接线缺失）。
公开 SDK 也没暴露 `DeclarePrincipalPolicy`（插件暂时无法声明主体策略）。

## 改动

① `security`：新增 `RevokePrincipalPolicy(scope,key)` / `HasPrincipalPolicy(id)`。
   **撤销是必须的**：主体 ID 是调用方给的名字（`create id="bot1"`），
   子回收后同名重建是常规操作，旧策略留着 ⇒ 新一代用上一代父留的约束运行。
   这与今天修的 rtchild 留档串线（`rtClosedTranscripts` 以模型给的名字为键、
   全仓 0 处删除）是**同一种形态**。撤销只支持 scope="id" —— 允许撤销 tag
   等于任何执行体销毁时都能抹掉全站策略。

② `agent/core`：`securityDecisionFor` 分两条路径

	父（parentID == ""）    → CheckTool(tool)                          // 内核自身
	子（parentID != ""）    → CheckToolFor(Principal{self, "resident"},
	                                        tool)                      // 叠加父的声明

   CheckToolFor 内部**先**调 CheckTool，所以主体策略无法绕过全局黑名单。
   主体 Kind 用 "resident"（IsInternal 为真）：HardPrivateTools 不拦内部委派
   （那条防的是用户主体偷看私人数据），但父声明的 Deny/Allow 仍然生效。

③ 创建点声明、销毁点撤销（生命周期对称）

	SpawnResident      → declareChildPolicy(opts.AllowedTools, opts.DenyTools)
	SpawnRTChild       → 同上
	teardownResidentWith / StopRTChild / StopRTChildren → revokeChildPolicy

   声明**必须在子开始执行之前**（rtLoop / child.Start 之前），否则存在一个
   「子已跑工具、策略还没进内核」的窗口。
   声明失败 ⇒ 回滚整个创建：一个「本该受限却无限」的执行体比创建失败危险得多。

④ 工具面：`resident_agents create` 与 `rt_children create` 新增
   `allowed_tools` / `deny_tools`。描述里写明「**你为它声明**」而非「授权」,
   因为模型很容易把白名单误读成额外授予。

## 判据（4 个变异全部实测咬住）

| 判据 | 变异 |
|---|---|
| TestParentDeclaresChildPolicy | 子退化为 CheckTool（不分主体）⇒ 红 |
| TestChildTeardownRevokesPolicy | teardown 不撤销 ⇒ 红；StopRTChildren 漏撤销 ⇒ 红 |
| TestPolicyDeclaredBeforeChildStarts | 声明挪到 rtLoop 之后 ⇒ 红 |
| TestPrincipalPolicyCanBeRevoked / TestRevokeRejectsTagScope | security 侧撤销语义 |

`TestParentDeclaresChildPolicy` 同时钉三件事：① 父声明的 deny 拦住子
② 同一条策略**不影响父**（主体隔离，不是全局策略）③ 撤销后子恢复。

`TestChildTeardownRevokesPolicy` 用源码断言单列，因为本仓反复吃亏在
「单数路径改了、复数路径漏了」—— `StopRTChild` 注销入站登记而
`StopRTChildren` 漏了，就是这么来的。真销毁需要完整记忆栈，而
「前置不满足就 skip」的判据等于没有。

## 实测（真实整机装配 + 真执行）

	① 父 ExecuteTool(cmd_run)            → 走到分派（未被拦）
	② 父声明 deny=[cmd_run] 后，子的判定  → Allowed=false
	   reason="tool \"cmd_run\" is not permitted for this principal (deny \"cmd_run\")"
	③ 父自己的判定                        → 仍 Allowed（主体隔离）
	④ 撤销后子的判定                      → 恢复 Allowed

build / vet / go test ./...（62 ok / 0 fail）/ -race（kernelmod/all +
agent/core + security）全绿；gofmt 漂移清零。

## 仍未接线

- `ScanContent`（敏感词/注入预警）仍 0 生产调用方
- 公开 SDK 未暴露 `DeclarePrincipalPolicy`（插件无法声明主体策略）
- `OversizeToolReports` / `oversizeHintFor` 仍 0 消费者
This commit is contained in:
JianFeeeee
2026-10-31 06:35:32 +08:00
parent 1d007e1d49
commit e78a38b3d8
9 changed files with 475 additions and 66 deletions
Download Patch File Download Diff File Expand all files Collapse all files

33
internal/agent/core/rtchild.go
View File

@ -368,6 +368,13 @@ type RTChildOptions struct {
// 与 `spawn_child` 的 max_turns 同义，但默认值必须是 0（不限）：
// rt 是**常驻对话**而非一次性任务，跑满就结束是错的。
MaxTools int
// AllowedTools / DenyTools 是**父为这个 rtchild 声明**的工具策略。
//
// 与驻留子同理（见 ResidentOptions.AllowedTools）。rt 流不禁工具（用户裁定 R3），
// 但 R3 说的是“内核不拔工具”，不是“父不能收窄”—— 通话场景下
// 把 cmd_run 这类高危工具从子手里拿掉是合理且必要的。
AllowedTools []string
DenyTools []string
}
// rtChildDefaultPrompt 是 rtchild 的默认系统提示词。
@ -584,6 +591,18 @@ func (a *Agent) SpawnRTChild(opts RTChildOptions) (string, error) {
return "", fmt.Errorf("划入 outputch(rt) %q: %w", opts.Output, err)
}
// ★ 父为这个 rtchild **声明主体策略**（用户裁定 2026-10-30）。
//
// 位置在这一步（通道已划好、rtLoop 尚未起）：子一旦开始跑就会执行工具，
// 那时策略必须已在内核里，否则存在一个“无约束执行”的窗口。
//
// 声明失败要回滚：一个“本该受限却无限”的执行体比创建失败危险得多。
if err := a.declareChildPolicy(opts.ID, opts.AllowedTools, opts.DenyTools); err != nil {
cancel()
rollback()
return "", fmt.Errorf("为 rtchild %s 声明安全策略失败（拒绝创建一个无约束的子执行体）: %w", opts.ID, err)
}
a.rtMu.Lock()
a.rtChildren[opts.ID] = rc
// ★ 这里**不**清留档（与一个曾被写错一版的修复相反，记录以示后人）。
@ -624,6 +643,12 @@ func (a *Agent) StopRTChild(id string) error {
if !ok {
return fmt.Errorf("rtchild %s 不存在", id)
}
// ★ 撤销父为它声明的主体策略（与 StopRTChild 同时）。
//
// 与 resident 同理：主体表以调用方给的名字为键，同名重建会继承旧策略。
// 而且若不撤销，`rt_children create id=x` → `stop x` → `create id=x`
// 这个循环会让策略表持续增长且语义错误。
a.revokeChildPolicy(id)
rc.mu.Lock()
rc.stopped = true
rc.mu.Unlock()
@ -675,6 +700,11 @@ func (a *Agent) StopRTChildren() int {
rc.mu.Lock()
rc.stopped = true
rc.mu.Unlock()
// ★ 撤销主体策略（必须与单数路径对称）。
//
// 这里曾漏过一步（入站登记未注销），与今天修的 StopRTChildren
// 不对称是同一类缺陷形态 —— 所以两处必须逐字对齐。
a.revokeChildPolicy(rc.id)
rc.agent.cancel()
_, _, _ = rc.slot.Take()
// 注销入站登记（与 StopRTChild 的单数路径逐字一致）。
@ -1503,6 +1533,9 @@ func (a *Agent) executeRTChildren(tc agentAPI.ToolCall) string {
Output: output,
SystemPrompt: strArg(tc, "system_prompt"),
MaxTools: rtIntArg(tc, "max_tools", 0),
// ★ 父为子声明工具策略（用户裁定 2026-10-30）。
AllowedTools: splitArg(strArg(tc, "allowed_tools")),
DenyTools: splitArg(strArg(tc, "deny_tools")),
})
if err != nil {
return fmt.Sprintf("创建 rtchild 失败: %v\n%s", err, a.listRTChannels())