Agent 是能编程的 root 用户——Chatbot 越权最多泄露对话，Agent 越权可以删库转账。所以安全必须纵深防御，一条主线串起全卷：① 五层模型定框架——L1 身份认证 → L2 执行隔离 → L3 权限控制 → L4 Prompt 防御 → L5 Skill 审计，没有一个框架做全五层，组合各家补空白（Codex L2 + Agent 运行时 L5 + Claude Code L1+L3 + OpenHands L4）；② 权限是策略层、沙箱是机制层——权限判断"该不该做"（分级权限 + 参数哈希缓存），沙箱物理阻止"做不了越界的事"（沙箱三档：路径 / OS 内核 / 虚拟化），策略层可被 `find / -delete` 绕过、机制层绕不过，叠加才是纵深；③ Prompt 注入只能说话永远不能动手——三类注入（直接/间接/越狱）+ 五道闸门与凭证/出站收口：短期令牌带 audience、出站默认拒绝，权限与出口兜底是最后防线；④ 工具风险分级 R0-R4——四维打分（数据敏感度/操作类型/影响范围/审计要求），R0-R2 自动化、R3 人工确认、R4 禁止自动化；⑤ 容错先分类再施策——资源错误重试/退避/回退链，行为错误续推/升级/循环检测/用户介入，统一重试是生产事故起点；⑥ 信任主干统一管控——RBAC/ABAC/PBAC + 不可变审计链 + 五层沙箱，安全税明码标价：数据越敏感、代码越不可信，隔离与审计档位越高、代价越大。三个贯穿点：层间零信任（不信任上一层结果）、correlation_id 串审计决策链、Allow-and-log 超阈值自动升级防无声黑洞。