Runtime Defense

AgentSentry 把多步驟 indirect prompt injection 重新定義成 temporal causal takeover 問題：重點不是某段工具輸出像不像惡意指令，而是從哪一個 tool-return boundary 開始，agent 的下一步已不再主要由 user goal 推動，而是被外部污染的 context 接管。它用 counterfactual replay 做診斷，再用 context purification 切掉控制訊號，目標不是停機，而是安全續跑。