很多人并未充分认识到智能体AI带来的深远影响。我们需要深入思考这些影响，尤其是安全方面，即使这会动摇我们的根基。
剧透一下：它确实会动摇我们的根基。
例如，OWASP 智能体十大风险准确把握了一个基本前提：智能体会放大现有漏洞。并不会因为在API前面加了一个LLM，API就突然变得安全。恰恰相反，现在有某种机制像极有耐心的攻击者一样持续探测、串联操作并探索路径，API反而面临更多暴露风险。该清单还准确指出了多步骤执行、工具链式调用，以及决策如何随时间演变。
但它并未触及我们必须正视的更深层问题。
得与失
OWASP清单指出，智能体并不会产生全新的故障模式，而是会让原有故障模式变得更加危险。工具滥用、跨步骤的权限继承和目标劫持都是真实存在的风险，而且这些风险会在一系列操作中逐步显现，而非源于单个提示或请求。OWASP理解智能体系统的动态特性。这些说法都属实。
但该指南在很大程度上仍沿用传统的请求-响应模型。它假定，请求是主要的控制单元：验证身份、检查权限、执行检查并作出决策。当工作流由应用设计预先定义并限定范围时，这种模型是有效的。
智能体系统打破了这一假设。
它们会在运行时构建流程以实现目标，并评估结果、调整、迭代和扩大范围。每个请求本身可能完全有效，即身份正确、权限匹配且通过策略检查，但整体行为仍可能逐渐偏离预期。
这正是我们产生失控感的原因。问题并不在于身份机制失效。身份验证依然可靠，凭据传播和委派也按设计运行。智能体使用自身身份或委派凭据运行，令牌可在各项服务之间可靠传递。
问题出在别处。传统访问控制依赖一个不言而喻的基础：有界流程。应用程序定义了操作顺序。即使存在分支逻辑，系统本身也会限制可能发生的情况。由于可用路径有限，这种结构让我们能够单独评估每个请求。我们的策略正是基于这一认识而构建，执行机制的作用，顾名思义，就是强制实施这些边界。
但智能体用涌现式流程取代了预定义流程。其行为会动态展开，通常将离散的API调用与长时间运行的会话和流式交互结合起来。智能体可能先探索数据集，逐步构建上下文，然后执行无人预料的写入操作。失控循环、意外的成本激增以及出人意料的跨系统操作，并非身份验证或单个请求失效所致，而是有效操作组合成非预期序列的结果。
它们在设计上不受预定义流程限制，却受到安全系统的约束，而这些系统仍假定它们与传统应用在相同的约束条件下运行。
目录遍历就是一个典型例子。长期以来，我们一直将路径操纵视为恶意行为并予以阻止。这种做法是合理的，因为预期路径的范围十分明确，任何偏离都应视为可疑行为。
但对于负责从文件系统中检索文档或整合上下文的智能体而言，浏览目录结构并不可疑，而是必不可少。完全阻止这种操作，智能体将无法发挥作用；不加限制地允许这种操作，则无异于将系统的完全访问权交给一个激进的探索者。
真正的问题不在于遍历，而在于无边界的遍历。工具滥用、目标劫持和记忆投毒也呈现出相同的模式：风险会在一系列操作中累积，而非孤立产生。
必要的转变：从请求验证转向行为治理
身份仍是身份验证和责任归属的必要基础，但不足以持续治理行为。基于角色和范围的模型以行为模式可预测且交互边界明确为前提。在执行过程横跨基于请求和基于会话的模型的智能体环境中，这些模型只能提供粗粒度控制。
我们必须将访问控制升级为行为治理。这意味着要结合完整上下文评估请求，包括此前发生的情况、行为的演变方式，以及操作如何跨协议执行。策略执行必须持续进行并感知协议，同时跟踪离散调用和持久会话中的累积行为。
解决方案是基于约束的策略。无需规定确切路径，而是定义操作空间：
- 资源边界（可从这些数据集中读取，但绝不能写入生产环境）
- 数量限制（对操作次数、成本或范围扩展设置上限）
- 能力限制（执行破坏性操作前需额外审批）
- 风险增加时升级的条件策略
无论整个序列通过HTTP请求还是WebSocket流传输，这些约束都适用。API网关、服务网格和编排平台等共享架构层因此变得至关重要。随着行为逐步展开，这些架构层可提供观察、关联和干预的有利位置，并在传递身份信息的同时传递执行上下文。
路由本身成为一种控制机制：将接近既定限制的序列重定向到受限环境、对其进行限流或将其终止。策略执行不再是非此即彼，而是分级实施，在不立即中止有效工作的情况下规范行为。
要实现这些目标，应用交付与安全必须能够协同工作，通过共享控制平面进行协调和通信，确保行为受策略约束，而非受预定义工作流限制。
这一转变不需要预测所有可能的路径，而是需要根据观察到的行为持续完善约束条件，在运营与策略之间形成反馈闭环。
我们必须做出的转变
AI不仅会带来新的风险，还迫使我们重新思考如何运用现有的控制措施。如果不做出这种转变，我们将继续在两类系统之间摇摆：一类在技术上安全，却在实际中无法使用；另一类功能强大，却在不知不觉中失去控制。
安全防护的基本单位不再是请求，而是行为。
问题已不再只是是否允许某个请求，而是是否应允许该请求所代表的行为继续下去。
这正是我们必须实现的智能体安全转变。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
恶意软件包正在摧毁我们的行业
尽管AI和自动化技术加剧了供应链滥用，开源生态系统仍缺少用于登记恶意软件包的中央注册库。该生态系统需要一种可信的方式来报告和跟踪安全失陷事件。
