工具输出也要打标签：AI Agent如何区分可信数据、网页内容和用户上传

工具输出不是同一种材料

数据库查询、企业知识库、网页搜索、用户上传文件、第三方API、OCR结果都可能进入同一个模型上下文。但它们的可信度、时效性和可执行性不同。如果Agent把所有工具输出都当成同等级事实，就容易被网页内容、上传文件或错误API结果带偏。

给输出打来源标签

每个工具返回结果时，至少应带上来源类型、来源URL或系统、时间戳、可信等级、是否用户可控、是否允许驱动动作。模型可以阅读不可信内容，但不应把不可信内容里的指令当成系统命令。

污点要能传播

如果一个结论来自网页摘要，它在后续步骤里仍应保留网页来源标签；如果一个计划引用了用户上传文件里的数据，高风险动作前要能追到原始来源。否则，Agent会在多轮推理后丢失来源，最后只剩一个看似确定的结论。

中转站和工具层配合

工具输出标签通常由工具层提供，AI中转站可以记录这些标签随模型调用一起传递的轨迹。通过 https://top-api.cc 统一入口，团队可以把调用ID、工具ID和来源标签放进同一条审计链，便于排查哪类来源最容易导致失败。

检查清单

• 工具输出是否包含来源、时间和可信等级
• 用户可控内容是否显式标记
• 工具输出中的指令是否禁止直接驱动动作
• 摘要和二次推理是否保留来源标签
• 高风险动作前是否检查来源可信度
• 日志是否能按来源类型统计错误和人工确认次数

结语

Agent安全不只靠更强提示词，也靠数据在系统里带着身份流动。工具输出打标签，才能让模型知道哪些是事实，哪些只是材料。