如今，大多数企业安全工具都建立在一套非常具体的假设之上。这并非坏事，因为在过去20年中，这些假设已经过无数次检验和验证。其中最主要的假设是：软件会按指令运行，可以对用户进行画像，系统在已知条件下会表现出可预测的行为。在保护API、Web服务器或密码使用习惯不佳的用户时，这些假设确实有效。
但当自主智能体出现时，所有这些假设都不再成立。
智能体并不总是按脚本行事，也不总是沿着静态定义的路径运行。它们会推理、规划和适应；如果疏于关注，还可能出现不当行为。这意味着，回过头看，传统防御方案已显得过于乐观。
所幸，安全研究人员已开始正视这一现实。其中一个重要迹象是这篇论文：“保护智能体AI：LLM智能体的威胁建模”。它并非只是抛出一系列令人担忧的新场景，而是切实提出了一套新的运营框架，专为我们正一头扎入的智能体世界而构建。
SHIELD：专为智能体而非API构建的框架
作者提出了SHIELD，这是一种用于管理现实环境中自主智能体的分层方法。它不只是一份攻击向量清单，更是一套治理蓝图。SHIELD包括：
- 沙箱隔离：明确限定智能体可访问的内容（工具、文件、API），并在其执行操作前完成相关设置。采用某种严格的访问控制机制。这里的核心理念是合理的，目前已有许多工作致力于规范AI的工具使用。
- 人在回路：在执行不可逆操作前设置检查点或升级处理路径。这一点显而易见，因为它是大多数自动化工作不可或缺的一部分。
- 接口约束：针对智能体与系统交互制定严格的输入和输出规则。听起来就是输入清理和响应检查。嗯。
- 执行跟踪：监控工具调用、内存状态变化和规划循环。可观测性。可观测性。可观测性。
- 日志记录：不仅要记录结果，还要捕获推理步骤和工具使用情况。设置这一项是为了组成一个好记的首字母缩略词，但它实际上与上述跟踪功能密切相关，也是整体可观测性策略的一部分。
- 确定性重放：重建推理会话，以便审计某件事发生的原因，而不只是发生了什么。鉴于几乎不可能重现智能体（其实任何AI都一样）的“状态”，我实在很难相信这能做到。不过，如果真能实现，那确实很不错。
目前仍处于早期阶段，但SHIELD的核心洞见至关重要：智能体AI需要新的控制点、新的假设和新的思维模式。我们最近可能提到过这一点，例如在这份白皮书中。现在，我们来简要说明这对安全负责人和工程师究竟意味着什么。
面向智能体AI，安全领域必须实现的五大转变
1. 从静态威胁模型转向动态行为监控
传统威胁模型假定攻击者会遵循已知模式，包括横向移动、权限提升和有效载荷投递。但智能体不遵循任何已知模式，而是可以随机应变。
安全团队需要开始监控涌现行为。这意味着围绕智能体的行为、思考方式以及何时偏离预期路径构建遥测机制。语义化。可观测性。无需多言。
2. 从边界控制转向运行时策略执行
当LLM智能体已进入内部环境，并自主调用工具、访问文件或提交API请求时，防火墙和网关级防护便无法发挥作用。
安全防护必须更贴近运行时，实时实施任务范围权限、环境隔离和意图验证。可以将其理解为“策略即推理”：智能体获准执行的操作，必须在其决定执行时接受检查。这意味着数据平面与控制平面正在融合，安全防护必须参与其中。
3. 从记录事件到捕获上下文
无法理解，就无法保障安全。要理解智能体，仅靠日志远远不够。提示链、工具调用元数据、内存快照和执行上下文都需要记录并可追溯。上下文是新的边界。
为什么智能体安排了五场会议，还在凌晨2点向供应商发送了一封电子邮件？只有能够重放其决策树，才能查明原因。这不是可观测性，而是智能体取证。
4. 从代码审查转向行为测试
智能体的逻辑并不在代码中，而在于权重、提示词、工具和上下文的组合。因此，静态审查无法发挥作用。
需要在沙箱环境中开展行为质量保证（QA）：模拟边缘情况、对抗性输入和权限边界。应像对待正在接受培训的初级工程师一样运行智能体，而不是将其视为确定性代码模块。
红队测试需要从“渗透系统”转向“操纵智能体”，并反复开展测试，密切关注级联故障。
5. 从用户身份转向智能体身份及其范围
当前的访问控制大多以用户为中心：用户是谁，拥有哪些角色？这种方式不适用于智能体。现在，需要为AI参与者分配身份、权限范围和任务边界，并设置自动过期机制（例如TTL）、与共享内存隔离，以及持久保留审计跟踪记录。
简而言之：零信任现在也适用于非人类主体。每当这些主体调用工具或访问资源时，都必须重新获得信任。
安全防护必须与时俱进
智能体AI不只是一项新奇技术，更代表着系统层面的转变。当模型获得自主能力时，系统的熵会随之增加，过去的假设也会成为隐患。
SHIELD的合理之处不仅在于其控制措施清单，更在于它所秉持的理念，其中包含两个核心假设：
- 假设智能体会偏离预设行为，无论是出于自身特性还是受到操纵
- 假设推理错误可能引发系统范围的连带影响
现在就采用这些措施的安全团队，将构建可随规模扩展的防护机制。没有这样做的团队呢？当智能体“只是想帮忙”却引发问题后，他们只能负责收拾残局。
所以，现有框架并不足以应对。智能体已经登场，现在需要采用真正理解其本质的治理方式。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
WAF和API发现技术在保护智能体AI应用中的作用
智能体AI系统的功能和集成会在运行时快速变化。要以同样的速度保障其安全，需要通过API发现和Web应用防火墙（WAF）实施切实可行的控制措施。
