为 Notion AI 代理构建运行时防护：输入验证与数据防泄露参数清单

在企业级知识管理场景中，Notion AI 代理通过 MCP（Model Context Protocol）协议调用外部工具（如 Web 搜索、数据库查询）的能力，极大地提升了信息整合与内容生成的效率。然而，这种开放性也引入了显著的安全风险：恶意或被劫持的提示词（prompt）可能诱导代理执行非预期的工具调用，将内部敏感数据作为查询参数发送至外部服务，从而造成数据泄露。传统的边界防火墙和静态权限控制对此类运行时风险束手无策。因此，必须在代理执行工具调用的“决策点”上，部署一套轻量、实时的运行时防护机制。本文不探讨宏大理论，而是直接提供一套可立即配置、用于生产环境的工程化参数清单与监控要点，确保安全防护不影响核心业务效率。

这套防护机制的核心在于“输入验证”与“输出控制”两个层面，其设计灵感直接来源于 CodeIntegrity.ai 提出的“在决策点拦截威胁”理念。该平台强调通过实时监控 LLM 的输入输出流，在工具调用执行前进行拦截与验证。我们将这一理念应用于 Notion AI 代理，为其 MCP 工具调用网关设置一系列可量化的阈值和规则。首先，在输入验证层面，必须对用户提交给 AI 代理的原始指令进行预处理。设定一个合理的 max_input_length 参数，例如 1024 个字符，可以有效防止通过超长、混淆的指令进行的复杂攻击。更重要的是，部署一个动态更新的 sensitive_keywords_list。这个列表不应仅包含“机密”、“密码”等显性词汇，还应包含公司内部项目代号、客户名称缩写等特定敏感词。当检测到输入中包含超过 3 个（keyword_match_threshold）列表中的词汇时，系统应自动触发二次人工审核流程，而非直接阻断，以避免误伤正常业务。此外，强制要求所有 MCP 工具调用必须通过一个中央代理网关，该网关维护一个 tool_allowlist，明确列出允许调用的工具 ID，如 notion_search_internal、google_drive_fetch，而将 web_search_unrestricted 等高风险工具默认排除在外，除非有特殊审批。

在输出控制与执行监控层面，防护的重点是防止代理将内部数据“打包”发送出去。为此，必须为每个工具调用设定 max_output_size 限制，例如，对于 Web 搜索工具，限制其返回结果不得超过 5000 字节。这能有效阻止代理试图通过一次调用泄露大量文档内容。同时，启用 data_redaction_patterns，对即将通过工具发送出去的数据进行正则匹配。例如，匹配并遮蔽所有符合 \b[A-Z0-9]{8,12}\b（疑似内部票据号）或 \b\d{3}-\d{2}-\d{4}\b（疑似社保号）格式的字符串。另一个关键参数是 session_timeout，建议设置为 300 秒（5 分钟）。这确保了即使会话被劫持，攻击者可利用的时间窗口也非常有限，降低了持续数据窃取的风险。所有这些参数的配置，都应通过一个集中的策略引擎进行管理，该引擎能够实时接收来自安全团队的更新指令，并立即推送到所有运行中的代理实例，确保策略的一致性。

仅仅配置参数是不够的，必须建立配套的监控与审计机制，以便在攻击发生或策略失效时能够快速响应。首要的监控指标是 tool_call_rejection_rate，即因违反上述规则而被拦截的工具调用请求占总请求数的比例。一个健康的系统，该比率应稳定在 1% 以下；若突然飙升至 5% 以上，则可能预示着大规模的恶意攻击或策略配置错误，需要立即告警。其次，必须记录每一次被拦截事件的完整上下文，包括原始用户输入、触发的规则 ID、被修改或遮蔽的数据片段。这些日志应存储在独立的、防篡改的安全日志系统中，保留至少 90 天，以满足合规审计要求。最后，建立一个 false_positive_feedback_loop 机制。当合法业务因防护规则被错误拦截时，用户应能一键提交豁免申请。安全团队需在 24 小时内审核此类申请，并据此动态调整 sensitive_keywords_list 或 tool_allowlist，确保安全策略能随业务需求自适应进化，而非成为效率的绊脚石。

任何安全措施都伴随着权衡。这套运行时防护机制的主要风险在于可能引入延迟或误拦截，影响用户体验和工作效率。为缓解此风险，所有验证逻辑必须在内存中完成，避免引入数据库查询等 I/O 操作，确保单次验证耗时低于 50 毫秒。同时，如前所述，采用“审核而非阻断”的策略处理敏感词匹配，将最终决策权交给人类。另一个潜在限制是，它主要防御的是“显性”的数据泄露，对于通过语义推理或多次小规模查询进行的“隐性”数据窃取，效果有限。因此，它应被视为纵深防御体系中的一环，与数据分类、访问控制、员工安全意识培训等措施协同工作。总而言之，通过部署这套具体的参数清单和监控指标，企业可以为 Notion AI 代理建立起一道坚实的运行时安全防线，在享受 AI 代理强大能力的同时，有效管控其伴生的数据泄露风险。