证据优先的 AI Agent 安全观察

本文为站点展示用示例，不代表对任何具体产品的安全结论。

Agent 的核心风险不是“回答错误”，而是把不可信内容转成了真实动作。邮件、网页、检索片段与工具返回值都可能夹带间接提示注入；一旦系统同时拥有代码执行、网络访问或业务写权限，单次误判就可能沿工具链放大。

结论

安全边界应落在执行前后的可验证控制，而不能只依赖系统提示词。

先把证据分层

安全研究中，发现线索和确认事实是两件不同的事。一个可复核的结论，至少要区分以下三层：

层级	用途	可否直接进入结论
官方公告、标准、代码修复	确认影响范围与处置方式	可以
独立复现与技术分析	补充机制、验证边界	需注明条件
搜索摘要、社区讨论	发现候选问题	不可以

当关键主张只有第三层来源时，正确动作是标注“待核实”，而不是用更多相同转述制造确定感。

建议的五层控制

1. 身份：为 Agent 使用独立身份和最小权限，不复用人的长期令牌。
2. 输入：把文档正文、元数据、工具描述和模型输出统一视为不可信数据。
3. 工具：按任务建立允许清单；高风险调用绑定会话、参数摘要、有效期与审批人。
4. 运行时：限制文件、网络与密钥可见范围；重定向后重新校验目标地址，写操作默认隔离。
5. 审计：记录“谁在何时基于什么证据调用了哪个工具”，但不落盘密钥、完整提示词或用户隐私。

三十天落地顺序

第一周盘点 Agent、工具和凭据，画出真实权限图；第二周为生产写操作增加人工确认与参数级审计；第三周补充间接注入、越权访问、重定向和跨会话复用测试；第四周演练吊销凭据、终止会话与恢复任务。

验收不看规则数量，而看一次高风险调用能否被追溯、阻断和安全恢复。

高风险调用 = 身份 × 数据来源 × 工具能力 × 影响范围

示例说明：正式报告应为每项具体判断附上原始来源、发布日期与访问时间。