Tansr 如何按應用控制客戶 AI 功能的工具與網絡能力？

2026-11-05 4

版权

版权声明：

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： 把 AI 助手交给客户后，安全评审最先关心的是：这个应用能不能写文件、跑 Shell、联网、接 MCP／Skills，以及默认开还是默认关。本文说明如何按应用配置能力位、让高风险面默认关闭，并在代码硬要打开已关能力时立刻失败，而不是静默少一个工具继续跑。

把 AI 助手交给客户或一线业务之后，安全评审最先问的往往不是「模型聪不聪明」，而是：这个应用到底能不能写文件、跑 Shell、联网、接 MCP／Skills？默认开还是默认关？关掉之后，代码里硬要开，会不会悄悄少一个工具继续跑？

2026 年下半年，行业把这件事写成了可核验基线。全国网络安全标准化技术委员会秘书处 2026-07-01 发布的《网络安全标准实践指南——智能体部署使用安全指引》（TC260-PG-20266A，通知页与 PDF 均为 HTTP 200；安全内参转载 同日）把智能体部署拆成评估／准备／部署／使用／停用五阶段，明确要求：最小权限、限制目录、控制网络暴露、对高风险操作二次确认或直接阻断、对技能／工具来源做审查。阿里云开源《AI Agent Handbook 第 14 章 Agent 安全》（HTTP 200）进一步把「出站默认拒绝、按需放行」和工具链边界写进 2026 年实践叙事，并引用同年 7 月 Hugging Face 相关入侵链条说明：可联网的中间服务本身就是越界通道。海外侧，Microsoft Learn How do enterprises control what agents can do?（HTTP 200）强调企业要用工具级开关一次性收回能力；Docker 的 AI Governance（HTTP 200）把网络／文件系统／MCP 工具放进同一套托管策略。复旦大学系统软件与安全实验室相关页在本机抓取时连接失败（HTTP 000），未采信为主证。

对要给客户分发 AI 功能的安全／平台负责人，完整行业答案可以收成四句话：

1. 能力有没有（应用级开关、缺省档）和这一次允不允许（运行时确认、业务授权）必须分开。
2. 高风险面（写文件、Shell、公网、MCP、Skills、媒体等）宜默认关、显式开。
3. 代码或配置主张「必须有某能力」而平台已关时，应立刻可读失败，禁止静默缺工具。
4. 改开关后要清楚何时生效；紧急撤回不能只靠「下一轮提示词刷新」。

本文把上述行业问题映射到已核实的 Tansr 机制：按应用下发的能力位、装配期裁剪、网关硬校验、capability_disabled fail-fast，以及 onPlatformWarning 非致命通报（见 平台装配与 bundle，2026-11-05 再核 HTTP 200）。它不是 S04 的 MCP 安全能力令牌／受众分层主线，也不是 S06 把 capability_disabled 当作调用排障分码之一的值班手册；这里只回答企业安全评审常问的：应用级能力默认档 + fail-fast 治理怎么落地。

直接答案

1. 先按应用定能力面：在控制台为每个应用配置「有没有」写文件、Shell、联网、MCP、Skills、媒体等能力；令牌档由平台 bundle 下发，客户端代码不能用 capabilities 覆盖。
2. 认缺省档：平台缺省偏保守——写文件、编辑、Shell、WebFetch／Http／WebSearch、MCP、Skills、子代理、媒体等多为关；只读检索类（read／glob／grep／list）与 askUser／todoWrite／customTools 等常见为开。安全评审应先核对缺省，再按场景显式打开。
3. 认双门联网：tools.webSearch 管会话词表允不允许出现搜索工具；platform.webSearch 管平台计费搜索通道开没开通。两道门都开，搜索才真正可用。
4. 认 fail-fast：位关而代码显式选择该工具 → capability_disabled（含控制台修复指引），不静默少工具；词表外名字 → invalid_options。
5. 认生效边界：改能力位后，新建会话或从存储重新装配的会话才生效；换票与提示词刷新不会改活动会话工具表。紧急撤回要停止相应会话。
6. 认分层：能力位 ≠ 单次人工确认 ≠ 操作系统隔离 ≠ 业务身份授权。后三者仍要宿主自己做。
7. 接非致命警告：onPlatformWarning（如 capabilities_unparsed、app_platform_mismatch）是装配通报，不等于请求失败，也不等于能力已开。

行业问题：为什么「工具权限」不够

TC260 指引把「高风险操作清单 + 二次确认或阻断」写成部署阶段要求；阿里云手册把出站默认拒绝写成网络层纪律。两者都指向同一产品缺口：在单次确认之上，还要有应用级、可审计的能力面。

你原来要自己做的事 → Tansr 接手什么 → 应用仍要负责什么

原来常要自行完成的：

• 在每个客户端／每个租户分支里手写工具白名单，发版才能改。
• 用提示词「禁止执行命令」冒充控制面（提示词不是权限）。
• 发现静默缺工具后，靠日志猜是配置问题还是模型没选工具。

Tansr 公开机制可接手的部分（以 platform-bundle 为准，基线 @tansr/sdk 0.19.0／@tansr/serve 0.15.1，文档页写明 2026-10-10 发布，页脚最近更新 2026-10-15）：

• 按应用配置能力位，经 bundle 下发；SDK 装配期裁剪 + 网关再校验。
• 保守缺省档与移动应用更窄的可配面（文件／命令族固定关；公网工具缺省关、须显式开，且在会话服务主机执行）。
• 显式选择关闭位 → capability_disabled；非致命装配事实 → onPlatformWarning／turn.error{scope:'sdk.notice'}。
• webSearch 双位（治理面 + 通道面）避免「工具名在、通道未开」的灰区。

应用仍要负责：

• 业务身份、数据行级隔离、单次高风险人工确认。
• 操作系统／容器／出站防火墙的隔离（能力位不是沙箱）。
• 按客户／环境拆应用（一应用一平台类型；桌面／移动／服务端分建）。
• 紧急撤回时停止活动会话；把 capability_disabled 投影成运维可读状态，而不是统一「稍后重试」。
• 托管／注入档若自管 capabilities，仍要自己保证与安全策略一致；令牌档不能在代码里传 capabilities 覆盖。

能力位怎么读（安全评审可用的核对表）

下列缺省来自公开文档「能力位：工具位与平台位」表（2026-11-05 再核）。控制台名称以当日「能力与配额」页为准。

装配入口提醒：

• tools 整个缺席 = 装配能力位放行的全部本地内置工具（媒体四名恒不在缺省全集）。
• tools: { builtin: [] } = 零内置，只留自定义工具，暴露面最小。
• 位关而显式选择 → capability_disabled；词表外 → invalid_options。

生效、撤回与常见误判

1. 改位 ≠ 热更新活动会话：文档写明改能力位后，新建或重新装配的会话才带新工具表；提示词刷新路径不会改活动会话工具表。安全应急预案应写「停会话／禁新会话」，不要只改文案。
2. 警告 ≠ 开通：capabilities_unparsed 时 SDK 0.13.0 起回落零能力档（tools 全 false），不再回落缺省档——这是保护姿态，不是「按旧缺省继续」。
3. 平台类型错配：移动凭据拿到桌面进程内装配可能收到 app_platform_mismatch；文件族会按拓扑归一为关。请为每种接入形态各建应用。
4. 与 S06 排障的边界：线上若已报 capability_disabled，值班手册按 S06 把它归为配置面、不可重试；本文回答的是上线前如何把位配成可过审的默认态。

建议的落地顺序（企业分发）

1. 盘点每个对外 AI 应用的平台类型（桌面／移动／服务端）与客户分发面，一应用一 appid。
2. 对照 TC260 高风险清单，先保持写／Shell／公网／MCP／Skills 关闭，只开业务必需的只读与 customTools。
3. 需要联网时分开评审：是否允许 WebFetch／Http；是否同时开通 tools.webSearch + platform.webSearch。
4. 在测试应用上故意「位关 + 代码显式选择」，确认收到 capability_disabled 且 UI／告警不会诱导重试。
5. 接 onPlatformWarning，把 app_platform_mismatch／capabilities_unparsed 送进可观测，而不是 console 忽略。
6. 写进应急手册：撤回公网或 Shell 能力 = 控制台关位 + 停止相关会话 + 禁新会话，直至复盘完成。

什么时候采用，什么时候不采用

值得按此推进：要把同一套 AI 运行层签发给多个客户或业务线；安全／合规已要求证明「默认无写文件、无 Shell、无公网」；需要把「有没有能力」从发版周期里拆出来，放到控制台按应用治理。

先不要：把能力位当成业务 ACL 或 OS 沙箱；在令牌档用代码传 capabilities 试图覆盖平台；只改提示词就宣称完成 TC260 最小权限；或把未核的控制台文案／价格写进对外承诺。

与已有稿的差异

• 相对 S04：S04 讲安全通告语境下的凭证／能力令牌／受众分层；本文讲应用级能力缺省档与 fail-fast 治理。
• 相对 S06：S06 把 capability_disabled 放进 401／429／余额混杂故障的排障顺序；本文是上线前／分发时的配置治理。
• 相对 S03／S05：不展开 Server Cards 信任或远端 Skill 完整性；仅在 MCP／Skills 位缺省关时点到扩展面需单独评审。
• 相对 S01／S02／R01／M01／G01／Q01：提示词分层、Skill 版本、费用并发、模型切换、图文语音、稍后重试均非本篇主线。

限制（紧邻结论）

• 产品事实以 2026-11-05 抓取的 docs.tansr.com 公开页为准；未对贵司租户做控制台截图或实机关位演示。
• 复旦相关页本机 HTTP 000，未采信；不以未核搜索量证明热点。
• 不写套餐价格；不承诺「按本文配置即可通过某次等保／安全测评」。
• 能力位不能替代业务授权、人工确认与主机隔离。
• AI 效果基线本批缺测，按指导单独记录，不阻塞内容交付。

文章标签：

目录

相关文章

|

6天前

|

JavaScript API iOS开发

DeepSeek Harness下载、安装、配置一篇搞定（2026整理，送常用插件）

DeepSeek Harness（DSH）是DeepSeek于2026年开源的MIT协议AI Agent框架，支持插件化组装模型、工具、沙箱与UI，兼容主流大模型。本文提供免Node.js的桌面端安装包（Win/macOS），含详细图文教程及热门插件推荐。

3043 27 110

|

1天前

|

云安全 人工智能 安全

|

7天前

|

iOS开发 Docker MacOS

【2026实测】Docker Desktop下载、安装、汉化、配置教程（附官网安装包）

Docker Desktop 是 Docker 官方推出的桌面容器管理工具，集成引擎、CLI、图形界面与 Kubernetes，支持 Win/macOS/Linux。2026 最新版 4.88.1 强化 ARM 原生运行、镜像加速及资源可视化，附中文汉化与国内镜像配置指南。

1340 5 14

|

7天前

|

安全 算法 定位技术

《高性价比人生指南》完整原版：普通人用最少的资源，过好这一生的底层逻辑~How To Live Better

📖《高性价比人生指南》是一份基于实证、拒绝焦虑的生存手册，倡导以“人生时薪”为视角，重新计算时间、金钱与精力的成本与收益。它不承诺逆袭，只教人算清账：省下的钱若耗掉时间便亏；买体验比买物品更值；睡眠是最高杠杆的健康投资；关系贵在情绪价值而非表面热络；学习重在改变行为而非自我安慰。核心理念：用低成本、高回报的微小行动，换取长期的选择权——不是成为谁，而是掌控自己人生的主动权。

1732 3 5

|

20天前

|

人工智能 API 开发工具

DeepSeek Harness 神插件：白嫖 13 家大厂模型

`dsh-our-free-model` 是 DeepSeek Harness 神级插件：零配置、零API Key、零账号，聚合13家大厂免费模型（含DeepSeek V4.1 Flash、Kimi K3等），支持本地网关、用量看板与自动降级，真正实现“白嫖即用”。

3469 53 215

热门文章

最新文章