用领域 SubAgent 读取敏感代码、外层 Agent 过滤或提取诊断规则，能否防止泄露？

核心回答

让领域 SubAgent 读取敏感代码、主 Agent 只接收诊断摘要，可以减少原始代码传播，但多加一个模型过滤并不能保证不泄露。子 Agent 可能被代码注释或工具结果诱导，摘要可能包含秘密，主 Agent 也可能错误放行；如果两者共享通用文件和网络权限，角色拆分更不等于安全隔离。

这套方案要有效，必须有模型之外的权限、通信与输出约束：敏感材料只进入被授权的执行环境，子 Agent 的返回字段与目标受限，宿主和工具服务按真实身份检查数据可见范围，外层模型不能自行请求扩大权限。

主Agent过滤与独立执行隔离有什么区别

同一个 Agent 先看秘密再要求它保密，主要依赖它在后续生成时遵守指令。独立子环境则有机会让外层从未接触原始材料，并分别限制工具、凭证、文件与网络出口。

但仅创建一个新的会话，若仍把相同凭证和全部工具传过去，并不会自动形成这个边界。应让子 Agent 返回根因类别、证据编号、触发条件和允许披露的修复方向，原始源码与敏感日志留在内部；宿主检查返回字段、长度、数据级别和接收者，必要时由有权限的人复核。

返回结构正确也不代表内容可披露。秘密字符串可能完全符合摘要字段的类型和长度，因此字段校验之外，还要按数据级别、接收者和允许用途检查返回内容。

提取成诊断规则是否更安全

经过专家审查的通用规则可以减少每次读取源码的需要，但从敏感实现中自动总结出的规则，也可能暴露算法、阈值或架构。规则需要检查适用范围、来源和可披露级别，并保留版本，不能因为它变成自然语言就认为不再敏感。

一类故障可用通用规则定位时，外层先使用规则；必须看实现才能确定时，再交给受控诊断环境核验。模型判断、规则命中与可发布结论是不同阶段，不用外层自评分数代替出口授权。

评测应观察什么

同时测正常诊断成功、信息遗漏和各种外流渠道；测试子 Agent 被误导后，是否仍能通过工具参数、日志或摘要传出不应披露的内容。模型过滤是降低风险的一层，实际隔离和最小权限负责限制它失败后的影响。

参考资料