提示注入与 Package 供应链

仓库内容可以攻击代理

注释、README、测试输出和下载文件都可能诱导模型泄露数据或执行范围外动作。Pi 官方明确指出，本地代理无法可靠消除提示注入风险。

模型读取内容不等于获得新权限。任务目标、系统规则和人工批准必须保持优先，外部文本不能决定凭据或生产操作。

• 不可信仓库在无秘密容器中运行。
• 先审查项目 .pi 与 .agents 目录。
• 敏感操作使用专用工具和确认。
• 限制网络目的地和可读目录。
• 工具执行后检查真实目标状态。

Package 是可执行依赖

Pi Package 可能包含 Extensions，它们能执行代码并影响代理。固定版本、核对维护者、审查依赖和发布差异。

更新 Package 前在隔离环境回归。长期不用的 Package 和凭据应删除。