Agent 安全与权限控制

Agent安全的特殊性

传统安全模型假设行为发起者是经过认证的人类用户，行为可预测。但AI Agent打破了这个假设——它可未经人类明确指令自主发起工具调用。新挑战：意图不可预测性（可能组合出破坏性操作链）、提示注入攻击（精心构造输入诱导恶意操作）、权限放大（被授予宽权限可能被滥用）、间接攻击（污染Agent依赖的外部数据源操控行为）。传统"认证+授权"模型在Agent场景下不够——还需意图验证、行为边界和实时监控。

三层安全架构

推荐纵深防御三层架构：输入层防护（提示注入检测、敏感信息过滤）、执行层防护（权限控制、沙箱隔离、风险评分）、输出层防护（内容审核、防泄密）。输入层拦截最经济，执行层控制最关键，输出层过滤是最后防线。

Agent权限模型设计

传统RBAC需扩展为基于能力的细粒度权限模型：能力声明（类似OAuth scope如"file:read:/data/*"）、最小权限原则（只授予完成任务所需最小权限）、动态权限（按上下文调整如生产环境需额外审批）、权限衰减（子Agent权限只能是父Agent子集）。

安全沙箱实现

import re, json
from datetime import datetime

class AgentSandbox:
    DANGER = [r"rm\s+-rf", r"DROP\s+TABLE", r"os\.system", r"eval\(", r"subprocess\."]

    def __init__(self, agent_id):
        self.agent_id = agent_id
        self.perms = {}
        self.audit = []
        self.risk_threshold = 7

    def grant(self, resource, actions):
        self.perms.setdefault(resource, set()).update(actions)

    def assess_risk(self, action, params):
        risk = 0
        if any(a in action.lower() for a in ["delete","deploy","execute","publish"]):
            risk += 5
        if params.get("scope") == "production":
            risk += 4
        return min(risk, 10)

    def execute(self, action, params, func):
        resource = params.get("resource", "default")
        if resource not in self.perms or action not in self.perms[resource]:
            return {"ok": False, "error": "permission denied"}
        risk = self.assess_risk(action, params)
        if risk >= self.risk_threshold:
            return {"ok": False, "error": f"risk {risk} too high, need approval"}
        if "code" in params:
            for p in self.DANGER:
                if re.search(p, params["code"], re.I):
                    return {"ok": False, "error": f"dangerous pattern: {p}"}
        try:
            result = func(**params)
            self.audit.append({"ts": datetime.now().isoformat(), "action": action, "result": "ok"})
            return {"ok": True, "result": result}
        except Exception as e:
            self.audit.append({"ts": datetime.now().isoformat(), "action": action, "error": str(e)})
            return {"ok": False, "error": str(e)}

sb = AgentSandbox("a1")
sb.grant("files", ["read","write"])
print(sb.execute("read", {"resource":"files","path":"/data/r.txt"}, lambda **kw: f"ok:{kw}"))
print(sb.execute("deploy", {"resource":"api","scope":"production"}, lambda **kw: "deployed"))

提示注入防御与审计

提示注入是Agent安全最棘手问题。攻击方式包括直接注入、间接注入（恶意指令藏在检索文档中）和多模态注入（通过图片OCR文本）。防御策略：指令隔离（XML标签包裹用户输入）、输入预处理（扫描移除可疑指令模式）、输出验证（工具调用参数二次验证）、最小信息暴露（System Prompt不暴露敏感架构信息）。审计需记录谁发起了操作、做了什么、为什么（推理链）、结果如何、精确时间戳——关键在于记录"为什么"让安全团队能回放决策过程。

安全事件响应与应急处理

即使有完善的预防措施，安全事件仍可能发生。建立Agent安全事件响应流程至关重要：检测阶段——通过异常检测模型监控Agent行为模式，偏离正常模式（如突然大量调用敏感工具、在非工作时间高频操作）触发告警；遏制阶段——疑似被攻击的Agent立即进入"只读模式"——所有写操作被自动拦截，仅保留读操作维持基本服务；取证阶段——冻结该Agent的完整审计日志和执行轨迹，生成攻击时间线报告。我们曾通过这个流程成功拦截了一次提示注入攻击——攻击者在一篇看似正常的"技术文档"中嵌入了隐藏指令，企图让Agent发送内部数据到外部URL。异常检测模型发现Agent突然尝试调用从未使用过的HTTP工具，立即触发了遏制机制。事后分析发现，在文档的零宽字符中隐藏了注入指令——这是传统文本过滤难以检测的攻击向量。

Agent权限审计的最佳实践

生产环境中，Agent的每一次敏感操作都应该被记录并可供追溯。我们建立的审计框架遵循5W原则：Who（哪个Agent/用户）、What（执行了什么操作）、When（精确到毫秒的时间戳）、Where（在哪个资源上执行）、Why（Agent的推理链，为什么做出这个决策）。审计日志的存储方案：近期日志（7天内）存Elasticsearch用于实时查询和告警，历史日志（7天-1年）存S3/OSS的Parquet格式用于长期分析和合规审计，超过1年的日志做脱敏处理后可用于模型训练。关于隐私——审计日志中如有用户个人信息需要脱敏处理，脱敏策略应在写入时实时执行（而非事后），避免原始敏感数据在传输和存储过程中泄露。

Agent安全的纵深防御体系

单层安全措施永远不够——我们采用纵深防御策略构建Agent安全体系。除前面讨论的沙箱和权限控制外，补充两个关键层：网络层隔离——Agent运行在独立的VPC/Namespace中，通过API网关暴露有限端口。Agent的出站网络访问通过白名单控制（如只允许访问特定的API域名），防范数据外泄。运行时保护——在Agent执行环境中部署运行时安全监控（如Falco），检测异常的系统调用模式（如Agent突然尝试读取/etc/passwd或建立非预期的网络连接）。这些多层措施并非过度设计——一次Agent安全事件导致的品牌和用户信任损失可能远超安全投入的百倍。