攻击面变化：agentic feature 把模型输出变成工具调用风险
deep_candidate开场围绕 model、agentic、Security、App Intents，说明安全问题不是模型回答错，而是模型驱动工具调用会触发真实操作。它支撑 I1。
modelagenticSecurityApp IntentsFoundation Models
确认 agentic feature 是否引入新的工具调用攻击面。 · source segments: 0–92▦
WWDC26 · 347Secure your app: mitigate risks to agentic features
当前 0:09 9s官方 ↗
Session 347·Secure your app: mitigate risks to agentic features·深度内容已验证 · 5 sections · 6 cards
正在接入 Apple HLS 视频源…
权限模型：工具调用必须受数据范围和操作影响约束
deep_candidate第二段围绕 model、agentic、LLM、Siri，说明 agent 行动需要按工具、数据、权限和操作影响分级，而不能让模型自由调用所有能力。它支撑 I2。
modelagenticLLMSirisearch
复核 tool permission 是否是 agentic 安全基础。 · source segments: 93–185审计链路：每个 action 需要记录触发原因、参数和结果
deep_candidate中段围绕 Security、Foundation Models、agentic，说明安全治理需要能追踪模型为什么触发某动作、传了什么参数、结果是什么。它支撑 I3。
modelSecurityFoundation ModelsagenticApp Intents
确认 audit trail 是否覆盖 reason/params/result。 · source segments: 186–278用户确认：Siri / App Intents 操作要按风险分层确认
deep_candidate第四段出现 Siri、App Intents、metadata，说明 agentic 操作不能一刀切：高风险需确认，中风险可撤销，低风险可自动。它支撑 I4。
modelSiriApp Intentsmetadataschema
判断用户确认是否应按风险分层。 · source segments: 279–371治理收束：schema、metadata 和 policy 把 agent 安全固化到工程合同
deep_candidate收束段围绕 schema、metadata、AppIntent，说明安全边界必须进入工具 schema、权限描述、日志和策略，而不是只靠模型提示词。它支撑 I5/I6。
schemametadatamodelAppIntentSiri
确认 schema/metadata 是否承载 agentic 安全治理。 · source segments: 372–464下左 · 时间锚点
Anchor Skeleton
下右 · 深度内容已验证
Workbench Status
结论 1：Agentic feature 的核心安全变化是模型能触发真实工具。
347 的重点不是传统漏洞扫描，而是模型输出变成 App Intents、Siri 操作或工具调用后的攻击面。Prompt injection、错误工具选择和权限滥用都可能造成真实后果。
结论 2：每个工具必须声明数据范围、权限级别和操作影响。
Tool permission 模型应把可访问数据、可执行动作、影响范围和调用频率写清楚。Agent 只能在授权边界内行动，这是 agentic app 的安全底座。
结论 3：审计追踪是 agent 进入生产环境的必要条件。
每次 agentic action 都应记录触发原因、执行参数和结果。审计日志不仅用于安全追责，也用于调试模型行为、定位错误工具路径和持续改进策略。 没有这条链路，团队既无法解释事故，也无法把失败样本反馈到权限和工具设计中。
结论 4：用户确认应分层，而不是所有操作都弹窗或都自动执行。
高风险操作必须确认，中风险操作应可撤销，低风险操作可自动执行。确认策略随用户信任和历史行为变化，而不是一刀切。 这种分层能在安全和可用性之间取得平衡，避免把所有操作都变成打扰。
结论 5：agentic 安全边界应进入 schema、metadata 和 policy。
如果安全只写在 prompt 中，就无法长期治理。工具 schema、metadata、权限声明、日志和 policy 才能让 agentic feature 在工程上可验证、可审计、可回滚。
总判断：347 是 agentic security 主干，和 379 共同补齐安全治理。
347 负责模型驱动工具调用的权限、审计和确认；379 负责社交工程场景下用户是否被操纵。两者共同把 security_privacy 从合规检查推进到 agentic runtime governance。