Composio Firewall 上線：AI 代理執行前與讀取後的檢查，能擋住哪些風險？
Composio Firewall 把代理動作與工具結果放進執行流程檢查。本文說明執行前阻擋、執行後攔截、自然語言條件、零資料保留限制與管理工具例外，並整理付費計價及誤判測試重點，幫助團隊將政策接到實際工具呼叫。
AI 代理拿到信箱權限後，能寄信不代表每封信都符合委託。Composio Firewall 於 2026 年 10 月 21 日在官網公告，創辦人並在 10 月 22 日分享發布訊號，嘗試把使用者任務與公司規則放到實際工具呼叫的檢查流程裡。
傳統權限通常只決定能否使用某項服務，但代理會在工作途中自行選擇內容與對象。因此，團隊還需要判斷這次動作是不是落在被交代的事情之內。
這項功能把檢查分成執行前與結果返回後兩個位置。前者能阻止即將發生的工具動作，後者能攔下工具帶回的惡意指令或不該讀取的資訊。
但兩個位置的效果不同。工具已經執行後才擋住回傳內容，不能撤回先前寄出的信或已經發生的變更，設計規則時就要選對檢查時間。
對已使用 Composio 串接公司工具的團隊，這是值得加入測試的控制層。它適合補上意圖與資料檢查，仍不能取代服務權限、人工批准和事後紀錄。
真正影響導入效果的，是規則如何描述，以及它在哪一種工具呼叫上生效。
Composio Firewall 在哪裡檢查代理動作？
它把檢查放在工具執行前與結果送回代理前，處理不同方向的風險。Composio 官方文件將兩者分別稱為執行前與執行後掛鉤，掛鉤就是在流程特定位置插入一段檢查。
執行前檢查能看見代理選擇的工具與傳入參數。例如，代理準備把內部價格寄給客戶時，系統可以在寄信工具執行前判斷是否符合限制，因此阻擋成功時，信件還沒有寄出。
這補上了單純帳號權限難以表達的條件。代理有權讀內部文件，也有權寄信，兩項權限各自合理，但把內部資料寄到外部，仍可能超出使用者交代的範圍，所以需要看這次動作的內容。
執行後檢查則處理工具回傳的資訊。若信箱帶回含有密碼的郵件，規則可以在內容進入代理上下文前擋住，讓代理繼續處理其他信件，而不必一概取消讀信能力。
為什麼兩個位置不能互換？
上下文是模型用來判斷接下來行動的資訊。外部網頁或郵件若夾帶要求洩露資料的指令，就可能嘗試把代理從原任務拉走，因此工具結果是需要檢查的一個入口。
官方提供專門的提示注入檢查，處理工具帶回的惡意指令。提示注入指外部內容冒充有效指令、改變代理任務的做法，所以檢查目的是在代理讀到內容前處理這類風險。
但執行後阻擋回傳，不會撤回已完成的工具動作。若寄信已經發生，隱藏寄信結果仍無法讓信件消失，因此涉及外部變更的限制，要放在執行前檢查。
這個時點差異會影響政策設計。保護機密資料不被代理讀取，可以用回傳檢查。保護機密資料不被寄走，則需要檢查寄送動作，兩者雖然都談資料保護，生效位置卻不同。
創辦人在 10 月 22 日的官方 X 訊號描述雙向檢查，與 10 月 21 日的產品公告相符。但公告沒有提供足以保證所有攻擊都能攔截的獨立測試，所以功能範圍與阻擋品質要分開看。
位置選對後，還要把抽象政策改成分類器能判斷的具體條件。否則團隊雖然加入檢查層，規則仍可能沒有對準要阻擋的事情。
自然語言條件該如何寫才有用？
條件要描述應被攔截的行為或資料，而非只對代理下達一句提醒。官方文件用「向公司外部分享內部價格」這類描述作為例子，因為分類器需要拿實際工具呼叫與條件做比對。
分類器是把輸入判斷為某個類別的模型，這裡的工作是辨識動作或資料是否落在阻擋條件。它會看呼叫的工具、參數，以及執行後取得的資料，因此條件要讓這些資訊足以支持判斷。
例如，「不要分享機密」很難界定什麼叫機密。若公司要保護的是尚未公布的產品資訊，就可以把資料類型與外部接收對象講清楚，讓政策更接近實際想防止的行為。
條件也需要配合工具範圍。團隊可以指定某些工具組，或讓條件適用所有工具組，所以只限制信箱寄送時，不必把同一條規則無差別套到每一種讀取工作。
規則更新與多條檢查如何互動？
每一條檢查需要在工作階段內有唯一識別資訊，也能附上名稱。這有助於代理和維運人員理解是哪條規則阻擋了動作，否則只收到失敗訊息，可能讓代理重試相同操作。
同一次工具呼叫若符合多條掛鉤，文件會在結果中保留各項檢查狀態，只要任何一項要求阻擋，呼叫就會被擋下。因此，新增規則時應確認它是否與既有規則重疊，避免意外擴大限制。
工作階段更新時，新掛鉤清單會取代舊清單。因此，團隊若只送出剛新增的一條規則，卻漏掉原有檢查，就可能使原本的限制消失，管理端需要保存完整的政策集合。
這也說明自然語言政策仍然需要版本管理。即使規則讀起來像一般句子，它仍會改變代理可以完成什麼工作，所以應記錄變更人、適用範圍與允許案例，不能只在對話中臨時改一句。
文件描述的分類器也會參考先前活動，這有助於處理跨步驟行為。例如，一組數字單獨看不出用途，但若代理剛從內部價格表複製它們，再準備寄給外部，前後關係就會影響判斷。
同一條條件在不同上下文可能得到不同結果，這也帶出資料保留的取捨。要理解這種差別，團隊需要先確認自己的專案是否提供歷史活動作為判斷依據。
歷史脈絡與零資料保留有什麼差別？
一般檢查能參考先前行為，但開啟零資料保留的專案只能評估單次呼叫。零資料保留是特定資料處理安排，這裡的直接影響是分類器沒有先前活動可用，因此跨步驟限制的效果可能不同。
這個差別在資料流經多項工具時特別重要。一封外寄郵件本身可能只包含普通數字，單看郵件難以辨識來源，但結合前一步讀取內部文件的紀錄，才能看出它與公司政策的關係。
因此，選擇較少保留資料的安排時，也要重新評估政策能否靠單次輸入判斷。若條件必須依賴資料來源，團隊可能需要讓工具參數保留必要分類資訊，或把高影響動作交回人工批准。
這是依官方功能限制做出的流程判斷，不代表開啟歷史資訊就能消除所有錯誤。分類器仍需要測試，尤其同一組資料在不同任務中可能有不同用途，不能只靠規則文字看起來合理。
哪些呼叫在檢查範圍內？
官方說明，指定工具組的代理呼叫會經過掛鉤，也涵蓋代理透過代理轉送、工作腳本或多工具執行模式發出的工具組請求。因此，團隊需要追查實際執行的是哪項工具，而非只看外層呼叫名稱。
但 Composio 自己的管理工具不會直接跑同一套掛鉤。文件用「執行工作腳本」作為例子，若條件只是阻擋這個管理動作，就不會因此生效，政策應對準腳本裡實際呼叫的工具組行為。
這個限制也影響稽核方式。管理介面建立工作與業務工具真的寄信，是兩種事件，因此團隊應在紀錄裡保留兩者關係，才能確認應有的檢查確實發生在工具執行路徑上。
提示注入檢查只適用工具結果返回後的掛鉤，因為它處理的是外部資訊進入代理的方向。因此，若開發者把它放進執行前位置，不能期待它代替對動作參數的政策分類。
被擋下來之後，代理會收到什麼？
官方範例會在結果中回傳阻擋狀態、錯誤說明與掛鉤識別資訊。因此，應用可以把它當成政策結果處理，而不是一律當作網路故障，這有助於避免代理無意義地重複嘗試。
若使用支援的代理框架，模型會看見錯誤欄位中的說明。但模型如何接著完成任務，仍需要應用自己的流程安排，例如改用允許的資料或請人補足授權，不能預設一次阻擋就等於整個任務安全結束。
維運端也應觀察同一規則是否反覆阻擋正常工作。若大量誤判集中在某種資料格式，就可以先調整條件與範例，再評估是否開放，避免員工為了完成任務自行繞過所有檢查。
對測試版規則，允許案例與阻擋案例要一起保留。只測一封明顯含密碼的郵件，可以確認部分機制生效，卻不能回答相似內容是否會被過度攔截，所以結果需要搭配正常任務閱讀。
查詢時的文件也明寫，Firewall 在付費方案提供，採用量計價。創辦人所說的向開發者開放，不代表所有帳號都免費，因此估算代理成本時還要納入每次檢查的費用。
確認可用脈絡與套用範圍，才能合理解讀測試結果。否則某次動作沒有被阻擋，可能是未進入檢查範圍，也可能是條件判斷不同，兩者需要不同修正。
企業該怎麼測試與分階段開放？
先用可重現的允許與阻擋案例驗證政策，再增加代理能操作的範圍。測試資料應來自實際業務邊界，例如對內寄送已公布價格與對外寄送未公布底價，因為兩者會檢查同一條規則是否分得出差異。
每組案例都要先寫下預期結果。若規則擋住原本應允許的工作，這是誤判造成的工作成本。若應擋的內容通過，則要追查掛鉤位置、工具範圍與分類依據，不能只把規則寫得愈來愈長。
對會造成外部變更的動作，可以先在測試環境使用無害收件對象與資料，再檢查是否真的沒有執行。這樣才是在驗證執行前阻擋，而非只看代理回答自己有遵守規則。
對工具結果的檢查，則可以用受控內容驗證代理收到哪些資料。若返回內容被攔截，還要看代理是否能理解原因、完成剩餘任務，避免它把正常阻擋當成暫時故障而不斷重試。
如果代理跨越多個工作階段，政策配置也應可追查到每次執行。這能讓維運人員知道當時載入的是哪一份掛鉤清單，因為只看管理介面最新設定，未必代表早先任務也使用同一版規則。
這種紀錄有助於處理回歸問題。規則更新後若正常工作突然被擋，可以回到相同案例比對前後結果，再修正條件，讓安全維護與業務可用性有共同證據。
公司也應保留原有權限邊界。即使內容檢查有效，代理仍只需要與任務相關的工具與資料，因此不必為了加入新控制層，就把原本不需要的帳號權限一併開放。
憑證本身的管理則是另一個層次。能判斷寄信內容，並不回答密碼是否應進入模型上下文，因此應把憑證供應方式與動作檢查分別設計。
延伸閱讀：1Password for Agents：讓 AI 登入帳號，密碼為何不用交給模型？
若代理會使用付費工具，費用上限與動作內容也需要各自可追蹤，不能把其中一種檢查當成所有限制都已具備。
延伸閱讀：Composio Instant 熱門原因：AI Agent 按次買工具，錢包餘額為何不等於嚴格預算？
這次更新較適合已經使用 Composio、而且能明確描述公司政策的團隊。把攔截、誤判與人工處理一起觀察，才能判斷檢查層是否幫上忙。想追蹤適用範圍與計價變化，可訂閱 AI 郵報並定期核對官方文件。
常見問題 FAQ
Composio Firewall 免費開放給所有人嗎？
官方文件列為付費方案的功能，採用量計價。開發者能取得功能與不需付費是不同條件，導入前應核對自己的方案。
執行後攔截能撤回已寄出的信嗎？
不能。執行後掛鉤處理工具回傳內容，已發生的動作不會被撤回，需要阻擋寄送時應在執行前檢查。
零資料保留會影響政策判斷嗎？
會影響可用脈絡。官方說明，零資料保留專案的分類器沒有先前活動，只能看單次呼叫，因此跨步驟規則需要另行測試。
