第 4 部分 · 三种边界：不可信输入、子 agent、外部系统（第 11–13 章）

第 4 部分处理 agent 无法控制的三类外部边界。检查每条边界时都要回答同一个问题：从边界另一侧进入系统的内容，凭什么可以信任？

• 第 11 章：不可信输入与执行权限的边界（issue 与 PR 文本、网页、依赖包 README、工具返回值、记忆条目）。
• 第 12 章：要不要把活拆给子 agent——一旦拆出去，主 agent 与子 agent 之间就是一条边界（子 agent 的输出同样是不可信输入）。
• 第 13 章：本进程与外部系统之间的边界（MCP、A2A、AG-UI 三条协议）。

读完第 11 至第 13 章，你可以检查系统是否同时具备访问私有数据、接触不可信内容和对外通信三项高风险能力；在拆分多 agent 前回答图 12-1 的四个问题；根据协议连接的参与方、版本和维护状态决定是否接入，并检查它可能静默失效的条件。

第 11 章依赖第 7 章 §7.2.6 的不可信内容声明与第 9 章 §9.4.5 的持久化注入；第 12 章依赖第 8 章 §8.2 的四级压缩顺序与第 11 章 §11.4；第 13 章依赖第 12 章 §12.3 与第 11 章 §11.4。建议按 11 → 12 → 13 阅读。时间有限时，先读第 11 章 §11.5.1，其中给出了执行环境隔离的实施顺序。