🧠 记忆锚点：先画资产、身份和信任边界，再沿数据流找威胁；控制必须能被测试，剩余风险必须有人负责。
💡 答案要点
先画数据流和信任边界，而不是直接罗列过滤器：用户输入、检索文档、系统 Prompt、模型、工具、凭证、日志和外部返回分别来自哪里，谁能修改，最终会触发什么副作用。
重点分析四类资产：敏感数据、工具权限、模型/Prompt 配置、业务决策结果。对每条跨边界的数据考虑伪造、篡改、泄露、越权和拒绝服务，再把缓解措施放在对应层：身份鉴别、最小权限、内容与参数验证、隔离执行、审批、审计和限额。
威胁模型的输出应包含攻击路径、影响、现有控制、剩余风险、责任人和验证用例；它不是一张只在评审会上出现的架构图。