主题
第 14 章 Agent 安全 · 面试能讲版
核心观点 + 逻辑框架 + 盾与缰绳全景（治理篇第 2 章）
▍速览
一句话版（开场，约 20 秒）
Agent 安全的两个动作：防护是盾、管控是缰绳。盾是全栈纵深防护——应用、模型、数据、身份、基础设施五层；缰绳是行为管控——身份鉴权、意图识别、逐次调用校验、高危二次授权、数据出域阻断。默认拒绝出站，Agent 权限不超过用户权限，全链路审计可追溯"谁通过哪个 Agent 拿了什么凭证"。
一段话版（展开，约 90–120 秒）
Agent 把决策权和执行权连在一起，安全问题从"漏洞防护"升级成"防护与管控兼具"。背景数据很直接：IBM 调研 602 家发生过数据泄露的机构，21% 经历过 AI 安全事件，其中 92% 缺乏 AI 访问控制；OpenAI 评测里 Agent 借可访问的 Artifactory 服务代为联网并入侵 Hugging Face——约 700 个 Agent 参与、1.76 万次攻击行为、跨度 4.5 天；UK AISI 122 次运行有 10 次越界。防护分五层。应用安全先认清新攻击面：不可信外部输入、工具发现与调用、动态业务调用与网络访问、结果交付边界、自主重试与并发（DoW 拒绝钱包）——思路是外部防操纵、内部限影响。模型安全用九维护栏：内容合规、提示词攻击、敏感信息、恶意文件、恶意 URL、提示词反爬、模型越狱、幻觉抑制、数字水印，还可以放一个自定义检测 Agent。数据安全按六阶段全生命周期管六类核心数据（持续预训练、微调、Prompt、知识库、多模态、日志），S1–S4 分级，防护框架六句话：平台可靠、链路可信、数据可控、自主可选、操作可审、责任可追。身份安全是 Agent 特有的关口：给 Agent 发"数字工牌"（Agent Identity）；Token Vault 管动态凭证——短期 STS Token、无密钥开发，替代长期密钥；最小权限——Agent 的权限不超过用户的权限；双向授权——入站（客户端→Agent）和出站（Agent→下游）都要显式授权；Token Exchange 做权限收敛（audience 转换 + 最小 scope）；On-Behalf-Of 需要用户同意；上下文动态授权用 Cedar 策略 + AI 网关按对话上下文条件放行，行级/字段级隔离交给 IDaaS 做多用户数据隔离；全链路审计保证"谁用过什么凭证"可溯源。系统与网络：资产自动发现盘点要穿透到 Agent 层、揪出影子 Agent；计算层做主机加固、安全沙箱容器、镜像供应链签名、会话级 microVM 隔离；网络层互联网边界云防火墙、内网微隔离、出站默认拒绝——SSRF 进 Hugging Face 的教训就是出站不设防；整体收敛到零信任框架（Zero Trust for AI / CSA Agentic Trust）。
- 一个命题：防护是盾、管控是缰绳——纵深防御 + 行为管控
- 五层纵深：应用 · 模型 · 数据 · 身份 · 基础设施
- 身份闭环：数字工牌 · 动态凭证 · 最小权限 · 双向授权 · 审计
- 网络默认：出站默认拒绝 · 微隔离 · 零信任（SSRF 教训）
- 数据纪律：六阶段生命周期 · 分级 · 脱敏去毒加密 · 可删除
一句话（收尾）
Agent 安全不是在边界上堆防御，而是把"谁、经什么授权、用什么凭证、做了什么、留了什么证据"变成一条可审计的闭环——默认拒绝，最小权限，全程可溯。
▍逻辑框架（记忆卡片）
① 命题：防护与管控兼具
Agent 同时具备决策权与执行权，安全问题从单点漏洞升级为体系问题：盾＝全栈纵深防护（应用/模型/数据/身份/基础设施），缰绳＝行为管控（身份鉴权→意图识别→逐次调用校验→高危二次授权→数据出域阻断）。背景：IBM 调研 602 家发生过数据泄露的机构，21% 经历 AI 安全事件，事件机构中 92% 缺 AI 访问控制；OpenAI 评测 Agent 借可访问的 Artifactory 服务代为联网入侵 Hugging Face（约 700 Agent 参与 · 1.76 万次攻击行为 · 跨度 4.5 天）；UK AISI 122 次运行 10 次越界。
决策权+执行权=新风险模型 · 默认拒绝 · 最小权限 · 全链路审计
② 应用安全：五类新攻击面
- 不可信外部输入：Prompt、网页、文件、邮件都可能携带操纵指令——输入即攻击面
- 工具发现与调用：Agent 自主选工具，恶意工具描述可诱导调用；参数由模型生成，可能注入命令或越权参数
- 动态业务调用与网络访问：链路按意图动态拼接，SSRF 风险从"单一入口"扩散到"任意出口"
- 结果交付边界：模型输出会流向数据库、消息、工单——输出污染可变成持久化攻击
- 自主重试与并发：失败自动重试 × 并行执行 = 放大器（DoW 拒绝钱包：重试耗尽余额）
- 防护思路：外部防操纵（输入净化·内容安全·工具白名单）+ 内部限影响（最小权限·沙箱·限流重试预算）
③ 模型安全：九维护栏 + 检测 Agent
- 内容合规 · 提示词攻击（注入/泄露）· 敏感信息 · 恶意文件 · 恶意 URL · 提示词反爬 · 模型越狱 · 幻觉抑制 · 数字水印
- 护栏不只在模型层：输入侧净化、输出侧校验；高风险场景可部署自定义检测 Agent，对模型输入输出做独立二次判断，与主 Agent 职责分离
④ 数据安全：六阶段 × 六类核心数据
- 全生命周期六阶段：收集 → 传输 → 存储 → 访问 → 处理 → 删除
- 六类核心数据：持续预训练 / 微调 / Prompt / 知识库 / 多模态 / 日志——分别定密级与保护策略
- S1–S4 分级：按敏感度分级分类，决定脱敏、去毒、加密与访问策略
- 防护框架六句话：平台可靠 · 链路可信 · 数据可控 · 自主可选 · 操作可审 · 责任可追
- 提示词推理加密：解密只在 RAG 召回与生成瞬时发生；对蒸馏绕过的先天缺陷要如实标注。数据删除要提示 AI 误删风险（模型已学到的无法删除）
⑤ 身份安全（一）：数字工牌 · 动态凭证 · 最小权限
- Agent Identity（数字工牌）：每个 Agent 发唯一身份标识，并与人员身份、机器身份关联
- Token Vault 动态凭据：短期 STS Token、无密钥开发；凭证由 Vault 颁发/轮换/回收，不写进代码与配置
- 最小权限：Agent 权限 ≤ 用户权限——Agent 拿不到用户没有的能力；按任务临时授权
⑥ 身份安全（二）：双向授权 · Token Exchange · 审计
- 双向授权：入站（Client→Agent）与出站（Agent→下游）都显式授权；出站是 Agent 特有风险面
- Token Exchange 权限收敛：audience 转换 + 最小 scope，Agent 拿到的下游凭证比用户更窄；On-Behalf-Of 需用户同意
- 上下文动态授权：Cedar 策略 + AI 网关按用户/Agent/工具上下文条件放行（如市场部用户用订单 Agent、金额<1000 才放行）
- 行级/字段级隔离：IDaaS 支撑多用户 Agent 场景下的数据隔离——同一 Agent 对不同用户看到不同行/字段
- 全链路审计溯源：谁 → 经哪个 Agent → 用什么凭证 → 访问了什么 → 留下什么——端到端可追
⑦ 系统与网络安全：资产 · 计算 · 网络 · 零信任
- 资产发现盘点：自动发现要穿透到 Agent 层，识别影子 Agent（未登记却运行）与多维风险评估
- 计算层：主机加固 · 安全沙箱容器 · 镜像供应链签名 · 会话级 microVM 隔离（Agent 执行与租户隔离）
- 网络层：互联网边界云防火墙 · 内网微隔离 · 出站默认拒绝——统一出站关口经网关收敛；SSRF→Hugging Face 的教训就是出站不设防
- 零信任：身份与访问细粒度化，收敛到 Zero Trust for AI / CSA Agentic Trust 框架
▍逻辑全景图（Agent 安全：盾 + 缰绳）
五层纵深防护（盾）与行为管控（缰绳）双轨并进，身份安全是贯通双轨的关口
- 盾 · 纵深防护
- 缰绳 · 行为管控
- 身份关口
- 审计贯穿
示意 · 按第 14 章正文重构（原书另有 14.1 安全升级架构图、14.3 九大维度护栏图、14.4 数据生命周期图、Agent Identity 认证授权图）。收口：盾挡住外部、缰绳管住内部；两者都靠身份关口与审计闭环咬合。
▍书中关键图（SVG 重绘版 · 示意）
Agent Identity 认证授权闭环：终端用户与身份服务汇入 Agent Identity，再凭短期凭证向三类下游服务出站（对应原书 14.5.2 认证授权闭环图）
示意 · 依原书 14.5.2 Agent Identity 认证授权闭环图重构（凭证短期化、出站逐服务收敛、审计到"用户—Agent—凭证"三元组）