用途：为 LangChain 1.0 链或 LangGraph 智能体提供安全加固，覆盖 OWASP LLM Top 10 中的常见风险，包括提示注入、工具滥用、追踪中的 PII 泄露与密钥外泄。
主要能力（五层防御）：
- 注入边界：用 <document> / <user_query> XML 标签包裹用户内容，并加入随机 8 位 canary 令牌；若模型输出出现 canary，则判定标签被绕过，返回 INJECTION_DETECTED。标签嵌套建议不超过 2 层。
- 工具白名单：使用 create_react_agent 走提供商原生工具调用，避免自由文本 ReAct 解析出未绑定工具（如 shell_exec）。
- PII 脱敏中间件：在缓存与 OTEL 导出之前脱敏，避免 PII 持久化到缓存或 SIEM。
- 输出与参数校验：用 Pydantic 校验工具参数，配合域名白名单与内网地址拒绝列表，阻止 WebBaseLoader 探测 169.254.169.254 等内部网络。
- 密钥生命周期：用 pydantic.SecretStr 与密钥管理器（GCP Secret Manager、AWS Secrets Manager、HashiCorp Vault）加载密钥，生产环境不用 .env。
使用方式：需 Python 3.10+，langchain-core >= 1.0, < 2.0，langgraph >= 1.0, < 2.0，pydantic >= 2.6，以及 presidio-analyzer 等 PII 检测器与密钥管理器访问权限。按步骤依次实施：包裹输入并加 canary、用 create_react_agent 绑定工具、在缓存与追踪上游做脱敏、校验输出与工具参数、从密钥管理器加载 SecretStr、按租户模式设置 OTEL_INSTRUMENTATION_GENAI_CAPTURE_MESSAGE_CONTENT（多租户建议 false）、显式覆盖提供商安全过滤并记录合规姿态。
适用场景：RAG 链、文档问答、多租户智能体、医疗或法律等对合规与 PII 敏感的领域应用。
限制：XML 边界与 canary 不是完整防御，需配合 GuardrailsRunnable 等分层措施；PII 检测精度有限（正则约 92%，命名实体约 78%），不可视为完全防护；训练数据投毒属提供商范畴，不在本技能范围内。具体价格、平台支持与效果数据暂未提供。