完善文档

docs/security/README.md

@@ -0,0 +1,3 @@
+# Security
+
+安全体系文档目录。

docs/security/audit.md

@@ -0,0 +1,15 @@
+# Audit
+
+重要操作必须可审计：
+
+- user
+- run_id
+- tool
+- timestamp
+- input metadata
+- output metadata
+- permission decision
+- result
+- error
+
+敏感内容应脱敏。

docs/security/authentication.md

@@ -0,0 +1,7 @@
+# Authentication
+
+统一产生 Identity Context。
+
+业务层不应自己解析认证协议。
+
+认证方式由部署环境决定，核心系统依赖稳定的用户身份接口。

docs/security/authorization.md

@@ -0,0 +1,7 @@
+# Authorization
+
+采用 RBAC + Tool Permission + Resource Permission。
+
+权限检查应尽可能靠近实际资源访问点。
+
+默认拒绝，显式授权。

docs/security/overview.md

@@ -0,0 +1,14 @@
+# Security
+
+采用纵深防御：
+
+`Identity -> Authentication -> Authorization -> Tool Permission -> Sandbox -> Audit`
+
+重点防护：
+
+- Prompt Injection
+- Tool Abuse
+- Secret Leakage
+- Sensitive Data
+- Sandbox Escape
+- Supply Chain Risk

docs/security/prompt-injection.md

@@ -0,0 +1,11 @@
+# Prompt Injection
+
+防护采用多层策略：
+
+1. 外部内容标记为不可信数据。
+2. 工具调用不由文本指令直接决定权限。
+3. Tool Permission 独立于 LLM 输出。
+4. 高风险操作要求额外确认或策略。
+5. 对工具结果进行来源和内容分类。
+
+LLM Guard 等组件只是其中一层。

docs/security/sandbox.md

@@ -0,0 +1,19 @@
+# Sandbox
+
+高风险执行能力必须隔离。
+
+包括：
+
+- Code
+- Shell
+- Browser
+- File System
+
+限制：
+
+- CPU
+- Memory
+- Disk
+- Network
+- Process
+- Timeout