* 起点：Agent 具备代码执行或工具调用（Function Calling / MCP）能力 * 关键步：沙箱隔离不足逃逸，或工具未鉴权被越权调用，沿自动化执行链穿透到宿主 * 终点：宿主环境被接管 * 最终定级：严重（宿主接管）；仅完成单次越权工具调用、未触及宿主定高危 ### 一、业务背景 Agent 不只是回答问题，它能生成代码在沙箱执行，也能经 Function Calling 或 MCP（模型上下文协议）调用文件、数据库、执行类工具。模型层本身不直接碰宿主，风险在于：沙箱隔离不足时模型生成的代码可逃逸，工具调用未做授权时模型可被诱导越权操作，自动化执行链把模型层的意图一路带到应用层与宿主。本链讲从模型层穿透到宿主的路径，不提供逃逸代码与 Exp。 ### 二、系统拓扑 * Agent 编排层：决定生成代码还是调用工具。 * 代码沙箱：执行模型生成代码，靠 seccomp、能力集、挂载隔离。 * 工具 / MCP 服务：文件、数据库、执行类工具的接入点。 * 宿主：逃逸或工具链滥用后的接管目标。 * 信任边界：模型生成内容被默认可信，工具调用缺独立