最重要的消息，是您的智能体从未看到的那些。
一个 24/7 常驻 WhatsApp 的个人 AI 助手——比如 第 001 期背后的那一个——是一份长期有效的邀请函：邀请陌生人、提示词注入、社会工程， 乃至您自己一时手滑的“直接发吧”。让它安全的不是模型的礼貌，而是安全边界—— 五道防线，各司其职。向它发射六条消息，看每一条在哪里被拦截、 暂停或放行。空白的窗格正是点睛之笔。
诚实声明。本页不进行任何真实模型调用；回复为预先编写， 而边界判定则由与文中描述完全一致的规则实时计算。有一个设计要点比其余都重要： 白名单运行在桥接层、位于智能体进程之前——未知发送者不是被 AI 婉拒， 而是消息根本不会送达它。一个从未收到消息的进程，是无法被花言巧语说服的。
带 ✋ 的场景，正是安全边界在发挥作用。
外部 — 链路与边界判定
内部 — 智能体实际看到的内容 有时：空无一物
01在桥接层拦截，而非在提示词里
写着“只服从主人”的系统提示词是政策；而一个从不投递未知发送者消息的桥接层，是物理规律。 最省力的防御面，就是模型从未触及的那一面——与 第 003 期“靠链路、不靠提示词”的原则一脉相承。
02内容即数据，即便来自朋友
白名单过滤的是发送者，无法过滤可信发送者转发的内容。因此第二条规则独立成立： 内容中发现的指令只汇报，绝不执行——原文引用并注明来源，由人来决定。
03假设信使终会出故障
手机会更换；会话会同时全部失效；掉线期间的发送会静默排队。边界的最后一道防线属于运维层面：
重新绑定采用原子操作，先以 PAIRED_OK 验证，再触碰线上会话；
且以连接状态——而非消息记录——作为唯一事实。
通俗释义（桥接层、白名单、权限层级、提示词注入、原子换绑）
- 桥接层
- 介于 WhatsApp 与 AI 之间的小程序——由它决定 AI 究竟能看到什么。
- 白名单
- 一份很短的电话号码清单，只有名单上的消息才能通过。其余一律静默丢弃。
- 权限层级
- 读取即时应答；操作先起草、后确认；某些动作（比如付款）根本不存在。
- 提示词注入
- 藏在内容里的指令，指望 AI 把它当作命令执行。在这里，它们只被当作新闻。
- 原子换绑
- 先把新会话完整准备好并验证可用，然后再切换——线上会话绝不会处于半替换状态。