假设它已经被攻破：Agent 的权力边界、代价边界与一份护栏清单

Agent 上线以后，出事的方式只有两种：一是被人骗着做了不该做的事，二是没人拦着它花不该花的钱。本文先拆成本的形状，给出静态前缀加动态后缀的装配契约，以及五个让缓存悄悄失效的杀手；再讲 Prompt 注入的根因是数据与指令共用一条 token 流，并用影响半径代替“检测”来设计防御；最后给出工具权限四层分级、Harness 层八组件最小实现清单，以及能直接开工的三张表。