一、三层Tool治理核心定义与设计目标核心概念区分三层是纵深防御闭环自外向内层层拦截优先级逐层升高OpenClaw 三层Tool治理是面向企业生产、配套19项工程改造中技能执行、安全隔离、权限合规、推理预算四大板块的标准化管控体系三层分别对应第一层业务引导层Skill / SKILL.md TOOLS.md作用告诉模型可以用什么工具、什么场景用、标准执行步骤属于提示词柔性约束仅引导AI行为无强制阻断能力。第二层运行时执行层ToolAdapter插件 沙箱隔离作用管控工具底层执行环境、资源配额、调用格式校验属于执行介质硬管控拦截非法参数、资源超限操作。第三层全局规则拦截层rules.md 安全策略引擎作用最高优先级硬红线全生命周期前置熔断无视上层Skill/模型意图高危调用直接拒绝、不进入沙箱执行。三层治理遵循先引导、再执行、最后兜底拦截的纵深安全模型解决原生AgentScope无工具权限管控、无沙箱隔离、无全局熔断、审计缺失的线上失控风险实现工具从“随便调用”到“可审计、可限流、可隔离、可熔断”企业上线标准。三层递进关系优先级第三层 第二层 第一层rules.md全局硬拦截最高权重 ↓ 拦截则直接终止放行才进入执行层 ToolAdapter沙箱/资源管控执行介质校验 ↓ 校验通过才允许模型调用Skill流程 SKILL.md TOOLS.md业务流程引导最低权重核心逻辑第一层仅做行为指引第二层管控执行环境第三层拥有一票否决权所有工具调用必须先过rules.md校验。二、第一层业务引导层SKILL.md TOOLS.md1. 组成组件TOOLS.md系统自动生成全局工具契约清单统一描述所有底层Tool原子函数exec、read_file、web_fetch、db_query等的入参、返回格式、能力边界一次性注入System Prompt让模型知道系统存在哪些基础工具。SKILL.md分场景技能说明书存放于三级技能目录工作区自定义 用户全局 系统内置定义工具组合业务流程指导模型按步骤串联多个原子Tool完成复杂任务。2. 加载与生命周期介入时机会话初始化onSessionCreate阶段按目录优先级扫描全部SKILL.md合并TOOLS.md生成工具基线提示词固定拼接在System Prompt中低于rules、IDENTITY、SOUL优先级。LLM推理循环onReasoningStart模型每次思考时读取Skill流程自主匹配当前业务场景选择对应工具组合仅在无规则拦截、无执行层异常时生效。onToolRun工具执行前Skill文档约束工具调用顺序、参数规范引导AI按标准化步骤执行避免无序乱调用工具。3. 核心治理能力柔性引导无阻断工具可见域管控可在SKILL.md限定当前业务场景仅暴露部分工具隐藏无关底层Tool减少模型幻觉式调用标准化执行流程约束定义多工具串行/并行调用步骤例如查工单→查客户→生成回复三步固定工具链参数格式规范强制模型输出标准JSON工具调用参数减少格式解析失败场景触发匹配通过frontmattertriggers绑定用户指令关键词自动加载对应技能文档降低上下文Token消耗。4. 局限性仅属于提示词层面引导无法阻止模型主动调用高危工具模型仍会生成违规工具调用指令必须依赖第二层、第三层兜底拦截。三、第二层运行时执行层ToolAdapter插件 沙箱隔离1. 组成组件基于可插拔运行时ToolAdapter插槽实现包含两大子模块工具适配器插件底层原子Tool执行实现文件读写、代码沙箱、数据库、视频解析、子代理委派等分层沙箱系统进程隔离容器分为普通沙箱、提升权限elevated沙箱、禁止执行三级环境。2. 生命周期介入全节点before_tool_run模型输出工具指令后真实执行前校验工具参数合法性、参数长度、敏感字段过滤校验单会话工具调用次数、单次推理最大调用上限分配对应隔离沙箱容器高危工具强制独立销毁式临时沙箱tool_running工具执行中实时监控CPU/内存/运行时长超时自动kill进程网络访问白名单拦截内网越权访问所有IO操作全量埋点写入可观测Observer插件after_tool_run执行完成/异常退出沙箱资源自动销毁清理临时文件、缓存标准化工具返回结果过滤报错堆栈敏感信息统计本次工具Token、耗时更新会话预算计数器。3. 核心治理能力执行介质硬管控可阻断但无全局策略环境隔离沙箱普通文件/脚本运行在隔离容器无法直接读写宿主敏感目录elevated提升权限工具需二次人工确认默认禁用高危exec命令、数据库删改操作启用一次性销毁沙箱执行完毕彻底回收资源限流管控单会话最大工具调用轮次、单工具超时阈值、并发子技能并行上限、网络请求速率限制参数与输出清洗自动脱敏工具输入输出中的手机号、身份证、密钥过滤报错堆栈内凭证信息多源工具适配统一封装内部业务API、私有数据库、第三方SDK为标准化Tool上层Agent无感知切换执行异常熔断工具连续失败阈值自动终止本轮工具循环避免无限重试消耗算力。4. 局限性仅管控已经放行进入执行阶段的工具调用无法在模型生成违规指令前拦截若rules.md未拦截高危工具会进入沙箱执行后才终止存在一定算力浪费。四、第三层全局规则拦截层rules.md 安全策略引擎最高优先级1. 组件定位三层治理的兜底硬防线独立于提示词、沙箱执行逻辑由SecurityPolicy可插拔插件解析运行是企业合规、权限管控核心载体优先级高于所有Skill、工具执行逻辑。2. 生命周期介入节点全链路前置拦截第一道关卡onInput 用户消息入站提前拦截意图为高危工具操作的用户请求不进入推理on_llm_output 模型生成工具调用指令后第二层沙箱校验之前最关键拦截点解析模型输出的tool名称、参数、目标资源匹配rules.md黑白名单、权限规则命中违规直接丢弃调用指令不分配沙箱、不执行任何操作before_memory_write管控工具执行结果写入长期记忆的权限禁止工具返回敏感数据入库onSessionCreate会话初始化预加载当前Agent工具权限配置初始化工具调用计数器、预算上限。3. 核心Tool治理能力一票否决全局刚性约束工具黑白名单管控全局黑名单永久禁用高危工具rm -rf、数据库drop、内网无限制访问会话白名单不同租户/子Agent分配独立可用工具集实现最小权限精细化参数约束规则限制工具操作范围例如read_file仅允许读取业务目录禁止读取/etc/密钥目录exec仅允许指定脚本路径推理预算全局管控全局单轮最大工具调用次数、单日会话总调用上限到达阈值直接熔断会话高危操作二次确认规则删数据、修改生产库、对外批量发送消息等工具强制触发人工复核AI无法自主执行子代理工具权限隔离AGENTS.md委派子代理时rules.md自动收缩子代理工具权限禁止子代理调用父代理高危工具合规审计强制埋点所有规则拦截、放行、高危工具调用自动生成不可篡改审计日志对接Observer监控插件输出告警。4. 核心优势前置拦截零算力浪费在分配沙箱、执行工具前直接阻断违规调用避免无用推理与容器资源占用满足企业成本与安全双重要求。五、三层Tool完整协同执行流程标准工具调用闭环命中违规规则放行违规合规参数/资源超限/沙箱禁止校验通过用户输入需求第三层rules.md前置意图校验直接拒绝记录审计日志流程终止LLM推理读取第一层SKILL.md/TOOLS.md引导模型输出工具调用JSON指令第三层rules.md二次校验工具名称、参数、资源第二层ToolAdapter沙箱与资源校验终止执行返回异常分配隔离沙箱真实执行工具工具执行完成清洗输出结果第三层rules.md校验结果是否允许写入LongTermMemory写入记忆/返回结果给用户会话本轮循环结束更新工具调用计数器流程拆解消息入站先过第三层rules意图风控模型基于第一层Skill文档生成工具调用模型输出指令再次走第三层硬规则拦截核心卡点规则放行后进入第二层沙箱资源校验与执行工具输出结果再次经过规则校验控制记忆写入全流程所有拦截、放行动作统一审计埋点。六、三层Tool治理在Agent完整生命周期各阶段参与明细生命周期钩子第一层Skill(TOOLS/SKILL.md)第二层ToolAdapter沙箱第三层rules.md规则引擎onSessionCreate一次性加载全部技能文档拼装System Prompt初始化工具适配器、沙箱池加载工具权限策略初始化调用计数器onInput消息入站无参与无参与前置意图风控拦截高危工具需求onReasoningStart注入技能流程引导模型思考预分配工具客户端校验剩余工具调用预算预算耗尽直接熔断on_llm_output模型输出校验工具调用格式是否符合Skill规范无参与解析工具指令黑白名单拦截违规调用before_tool_run约束工具执行顺序、步骤沙箱创建、参数校验、资源限流二次校验操作资源范围tool_running执行中无动态干预实时监控超时、内存、网络实时检测异常数据流动态终止执行after_tool_run执行结束标准化工具输出解析销毁沙箱、释放资源、清洗结果校验输出敏感数据管控记忆写入权限onOutput对外返回规范结果行文格式无参与输出脱敏、隐私屏蔽兜底审计onSessionClose会话销毁清空会话技能缓存回收全部会话沙箱资源归档本轮所有工具调用审计日志重置计数器七、三层Tool治理核心价值对应UpClaw从“可用”到“可上线”分层解耦低代码运维业务流程调整仅修改SKILL.md无需改动底层插件代码执行环境切换替换ToolAdapter插件本地沙箱/云端容器安全权限管控统一修改全局rules.md黑白名单全局生效纵深零信任安全闭环三层层层兜底不存在单点防护失效风险引导层约束AI行为、执行层隔离运行环境、规则层全局强制红线解决AI自主调用工具带来的删库、数据泄露、内网越权风险精细化资源成本管控第三层全局预算第二层单会话限流双重管控杜绝AI无限循环调用工具避免算力、接口费用失控完整合规审计链路每一层拦截、放行、执行动作全埋点区分规则拦截日志、沙箱执行日志、技能调用日志满足企业等保、隐私合规审计追溯需求最小权限落地三层协同实现租户/子Agent工具权限隔离不同业务智能体仅分配必要工具符合企业零信任最小权限原则适配多代理SFA2A委派场景子代理委派时三层治理自动联动收缩权限rules.md限制子代理高危工具、Skill仅加载子业务技能、沙箱分配独立隔离容器防止跨代理权限泄露。八、与Codex、Claude Code原生工具管控的核心区别OpenAI Codex仅单层云端沙箱执行管控无业务Skill分层引导、无全局规则拦截层工具权限、调用次数硬编码在厂商后台不支持自定义黑白名单无企业级可配置rules管控。Claude Code仅有提示词工具说明本地单层执行沙箱缺少独立全局规则引擎前置拦截无法按会话/租户拆分工具权限无分层审计体系仅适合个人开发不支持企业多租户生产管控。OpenClaw三层Tool治理三层独立分层架构配置全外置MD文件可插拔插件支持私有化内网部署、自定义安全策略、多租户权限隔离、全链路审计是面向企业生产环境的完整工具管控体系。九、典型落地场景示例场景企业客服智能体工具管控第一层SKILL.md定义工具调用流程用户咨询订单→调用订单查询工具→调用客户画像工具→生成回复禁止模型跳过查询直接编造数据第二层ToolAdapter订单API工具封装适配器沙箱隔离网络请求限制单轮最多3次接口调用超时10s自动终止自动脱敏返回手机号、身份证第三层rules.md黑名单禁用数据库delete、exec高危命令仅开放订单查询、工单创建两类工具单日单会话工具调用上限100次批量发送短信工具需人工二次确认。三层协同效果AI只能按业务流程调用指定客服工具无法执行高危操作资源可控、行为可审计满足企业客服线上安全上线标准。