当 LLM 从“对话工具”进化为能够自主规划、调用工具、读写数据、执行多步任务的 Agent，安全边界也随之从“模型输出是否合规”扩展到“系统行为是否可控”。本文基于当前公开的技术共识，梳理 Agent 应用面临的主要安全风险，并给出可落地的管控策略框架。

一、为什么 Agent 的安全问题不同于传统 LLM 应用

传统 LLM 应用的安全焦点集中在输入与输出：提示词注入、有害内容生成、数据泄露。而 Agent 引入了三个新的变量：

自主性：Agent 可以自行拆解任务、决定调用哪些工具、循环执行直到目标达成，人类不再逐步确认。

工具调用能力：Agent 通过 API、代码执行、文件系统、浏览器等接口与真实世界交互，一次错误调用可能产生真实副作用。

持久化状态：Agent 往往拥有记忆、上下文存储和长期任务队列，攻击面从单次会话扩展到跨会话。

这意味着安全模型必须从“内容过滤”升级为行为治理：不仅要问“它说了什么”，还要问“它能做什么、正在做什么、做完留下了什么”。

二、Agent 应用的主要安全风险

1. 提示词注入与指令劫持

Agent 会读取外部内容——网页、邮件、文档、API 返回结果。这些内容中若嵌入恶意指令，可能覆盖或篡改 Agent 的原始目标。相比聊天场景，Agent 的注入风险更高，因为它读取的内容会直接进入决策链路，并可能触发工具调用。

典型形态包括：间接提示词注入（内容源投毒）、工具返回结果注入、多轮上下文污染。

2. 工具滥用与越权操作

Agent 调用的工具通常带有真实权限：数据库读写、文件删除、消息发送、支付接口、代码执行。若缺乏细粒度授权，Agent 可能：

调用超出任务所需的工具；

以过高权限执行操作；

在参数构造错误或被诱导时执行破坏性动作。

3. 数据泄露与隐私风险

Agent 在任务执行中会聚合多源数据，可能将敏感信息带入日志、外部 API 请求、记忆存储或最终输出。多步任务中，数据在工具之间流转，泄露路径比单次对话更隐蔽。

4. 供应链与依赖风险

Agent 应用通常依赖模型服务、工具插件、第三方 API、向量数据库、编排框架。任一环节被污染或存在漏洞，都可能被利用来影响 Agent 行为。

5. 不可控的自主循环与资源消耗

Agent 可能陷入循环调用、重复执行、无限重试，造成资源耗尽、成本失控，甚至对下游系统形成拒绝服务式压力。

6. 可观测性缺失导致的追责困难

多步、多工具、多模型的执行链路若缺乏完整审计，出现问题时难以定位是模型决策、工具实现还是外部输入导致，也无法满足合规审计要求。

三、管控策略框架

以下策略按“预防—约束—监控—响应”四个层次组织，可作为 Agent 安全建设的参考骨架。

1. 预防层：输入与上下文治理

内容来源分级：对外部输入（网页、邮件、用户上传文档）标注可信等级，低可信内容不得直接作为高权限指令来源。

指令与数据分离：在提示词结构上明确区分“系统指令”与“外部数据”，降低注入内容被当作指令执行的概率。

输入清洗与检测：对已知注入模式做检测，但需认识到检测无法覆盖全部变种，不能作为唯一防线。

2. 约束层：最小权限与工具治理

工具白名单：Agent 只能调用任务显式授权的工具集，禁止动态发现并调用任意工具。

最小权限原则：每个工具使用独立、受限的凭证，避免使用全局高权限密钥。

危险操作二次确认：对删除、支付、外发消息、代码执行等高风险动作，引入人工确认或策略引擎审批。

参数校验：在工具入口对参数做结构化校验，防止注入式参数或越界取值。

沙箱执行：代码执行、浏览器操作等能力应在隔离环境中运行，限制网络与文件系统访问范围。

3. 监控层：可观测与审计

全链路追踪：记录每一步的输入、模型决策、工具调用、参数、返回结果与耗时。

行为基线：建立正常行为画像，对异常调用频率、异常工具组合、异常数据访问做告警。

成本与资源监控：对 token 消耗、API 调用次数、循环步数设置阈值。

敏感数据标记：对流转中的敏感字段做标记与脱敏，防止进入日志或外部请求。

4. 响应层：熔断、回滚与恢复

熔断机制：当检测到异常行为或超出预算时，自动中止 Agent 执行。

可回滚设计：对可逆操作保留回滚能力，对不可逆操作强制前置审批。

隔离与取证：异常发生后隔离相关会话与凭证，保留审计数据用于分析。

人工接管：提供从自动执行切换到人工介入的通道。

四、工程落地要点

安全左移：在 Agent 设计阶段就定义工具权限、数据边界与审批点，而非上线后补丁式加固。

策略与模型解耦：权限、审批、熔断等策略应由独立于模型的策略引擎执行，避免“让模型自己遵守规则”。

默认拒绝：未显式授权的工具、数据源、外部域名默认不可访问。

分层防御：不依赖单一检测手段，输入检测、权限约束、行为监控、人工审批需叠加使用。

持续评估：Agent 能力与工具集在演进，安全策略需随之迭代，定期做对抗性测试。

结论

Agent 的价值在于“能做事”，而风险也正来自“能做事”。安全管控的核心不是限制 Agent 的能力，而是让能力在明确的权限边界、可观测的执行链路、可中断的响应机制内释放。

对企业和开发者而言，务实的路径是：先明确 Agent 能触碰哪些系统与数据，再用最小权限和审批点约束它，最后用全链路监控和熔断机制兜住最坏情况。安全不是 Agent 上线前的最后一道检查，而是贯穿设计、开发、运行全过程的工程能力。

生成标记：本文由 ITPUB 文章生成平台基于已选素材整理生成。