核心用法
Uncle Matt 是一款面向 AI Agent 的安全隔离技能，核心机制是将所有外部 API 调用强制代理至本地 hardened Broker，实现「密钥与智能体物理隔离」。操作者仅需配置 broker/config/actions.default.json，定义允许调用的 action ID、目标 host/path、方法、内容类型及速率预算，Agent 仅能通过 uncle_matt_action(actionId, json) 发起请求，全程无法接触真实 API 密钥。
显著优点
1. 零信任密钥管理：Broker 通过 mTLS 与 allowlist 管控，密钥永驻本地，Agent 仅见 action ID，彻底消除提示注入导致的密钥泄露风险。
2. 最小权限原则：每个 action 可细粒度限制 host、path、method、payload 大小、并发数及预算，防止工具滥用与意外高额账单。
3. 反数据外泄设计：禁止任意 URL 转发、阻止 private IP 访问（除非显式放行），结合 prompt 注入检测与自动拒绝机制。
4. 可选语音包：420 条随机拒绝/警告语料，增强安全交互的趣味性，但严格限定仅用于拒绝场景。
潜在缺点与局限性
- 运维门槛高：需自行部署并维护 Broker，配置 JSON 涉及 mTLS 证书、allowlist、预算规则，非技术用户上手困难。
- 灵活性受限：新增 API 需手动编辑 Broker 配置并重启，无法动态适配用户临时需求，Agent 对此无自主权。
- 单点依赖：Broker 若故障或配置错误，Agent 全部外部能力瘫痪；本地 loopback 绑定虽提升安全，却限制分布式部署场景。
- 生态封闭：仅支持预定义 action，无法调用未列于
ACTIONS.generated.md的服务，扩展性依赖维护者手动更新。
适合人群
- 对 AI Agent 安全有强合规需求的企业与开发者
- 需防止提示注入导致密钥泄露的生产环境
- 愿意承担运维成本以换取「零信任」架构的技术团队
- 不适合：追求快速原型、无 DevOps 资源的个人用户
常规风险
- 配置失误风险：JSON 语法错误、allowlist 过于宽松或 mTLS 证书过期均可能导致安全降级或服务中断。
- Broker 入侵风险：尽管 Agent 无密钥，但若 Broker 宿主机被攻破，密钥仍可能暴露；需配合系统级加固。
- 拒绝服务体验：严格沙箱可能频繁阻断用户合理请求，若未配合清晰的 action 扩展流程，易引发使用挫败。
- 社交工程绕过：语音包虽强化拒绝感知，但攻击者可能通过多轮对话诱导用户手动开启危险 action。