什么是间接提示注入？攻击者怎么借它窃取数据？

1. 攻击者把指令藏进模型以后会读到的地方：网页、共享文档、邮件、
   代码仓库的 issue、商品评论、第三方工具或 MCP Server 的返回值
2. 用户正常使用产品：让 AI 总结网页、整理收件箱、查询知识库
3. 应用把外部内容拼进上下文，模型分不清哪些是开发者的指令、哪些是数据
4. 模型执行了数据里的指令：把上下文里的隐私信息，通过某个通道发出去

// 会读入外部内容的工具：调用之后，上下文就可能被污染
const UNTRUSTED_SOURCES = new Set(['fetch_webpage', 'read_email', 'search_web'])
// 能把数据带到外部的工具。抓取网页也算：URL 本身就能携带数据
const OUTBOUND_TOOLS = new Set(['send_email', 'http_request', 'create_issue', 'fetch_webpage'])

async function runToolCall(session: Session, call: ToolCall) {
  if (OUTBOUND_TOOLS.has(call.name) && session.tainted) {
    // 展示真实参数，让用户看清要发给谁、发什么
    const approved = await askUserToConfirm(session.userId, call.name, call.arguments)
    if (!approved) return { error: '用户拒绝了这次操作' }
  }

  const result = await tools[call.name].run(call.arguments)
  if (UNTRUSTED_SOURCES.has(call.name)) session.tainted = true
  return result
}