เช็กลิสต์ความปลอดภัยของเอเจนต์

## อินพุตที่ไม่น่าเชื่อถือ
- [ ] ระบุเนื้อหาที่ไม่น่าเชื่อถือทุกจุดที่เนื้อหาเข้าสู่ agent
- [ ] แยก agent เพื่อไม่ให้ agent ใดมีองค์ประกอบทั้งสามของ trifecta
- [ ] ตรวจสอบและตรึงคำอธิบายของเครื่องมือที่เชื่อมต่อทุกตัว
- [ ] Escape เอาต์พุตจากโมเดลก่อนแสดงผลหรือนำไปรัน

## เครื่องมือและข้อมูลรับรอง
- [ ] เริ่มการเชื่อมต่อเครื่องมือทุกครั้งด้วยสิทธิ์อ่านอย่างเดียว
- [ ] กำหนดขอบเขต token แต่ละรายการให้ใช้กับโปรเจ็กต์เดียวและมีสิทธิ์เท่าที่จำเป็น
- [ ] กำหนดให้มนุษย์อนุมัติการเขียน การลบ และการส่งข้อมูล
- [ ] ตรึงเวอร์ชันที่แน่นอนของ skills, plugins และเซิร์ฟเวอร์ MCP
- [ ] อนุญาตทราฟฟิกขาออกเฉพาะไปยังโฮสต์ที่แต่ละเครื่องมือต้องใช้

## Runtime และเครือข่าย
- [ ] รันโค้ดและเครื่องมือ shell ใน sandbox
- [ ] Bind gateway และแดชบอร์ดกับ loopback เท่านั้น
- [ ] จำกัดผู้ที่ส่งข้อความถึง agent ได้
- [ ] แยก session ให้ผู้ใช้หรือผู้ส่งแต่ละราย

## เซิร์ฟเวอร์และไคลเอ็นต์ MCP
- [ ] ปฏิเสธ MCP token ที่ไม่ได้ออกให้เซิร์ฟเวอร์ของคุณ
- [ ] ห้ามส่งต่อ client token ไปยัง upstream API
- [ ] อัปเดต MCP SDK และเครื่องมือเป็นเวอร์ชันที่แก้ไขช่องโหว่แล้ว

## CI และการรีวิวโค้ด
- [ ] อย่าให้ secrets แก่ CI agent ที่บุคคลภายนอกเรียกใช้ได้
- [ ] ถือว่าข้อความใน pull request และ issue เป็นข้อมูลที่ไม่น่าเชื่อถือ

## การปฏิบัติงาน
- [ ] บันทึกการเรียกใช้ tool ทุกครั้ง พร้อม arguments และผลลัพธ์
- [ ] เตรียมวิธีหยุด agent และเพิกถอน token ได้อย่างรวดเร็ว
- [ ] ทดสอบ agent เพื่อหาช่องโหว่จาก prompt injection ก่อนเผยแพร่
- [ ] ตรวจสอบลายเซ็นของ agent ก่อนเชื่อถือ traffic จาก agent