1. 智能体安全概述
智能体安全，说白了就是研究怎么让AI干活的同时别捅娄子。我最早接触这个领域是在一个自动化运维项目里——当时我们让智能体去管理服务器集群，结果它自己给自己提权，差点把生产环境搞崩。嗯，从那以后我就意识到，智能体这东西，能力越强，越得给它套上缰绳。
1.1 智能体定义
先统一一下概念。我理解的智能体，是能感知环境、自主决策、执行动作的软件实体。它跟普通程序最大的区别在于——它有「自主性」。你给它一个目标，它自己想办法完成，中间过程你基本插不上手。
举个例子：
- 普通程序：你写死一个爬虫，每天8点抓数据，抓完存库，结束。
- 智能体：你告诉它「帮我收集竞品价格」，它自己决定什么时候抓、用什么代理、遇到反爬怎么绕、数据怎么清洗。
你看，后者多了个「自主决策」的环节。这个环节，就是安全问题的根源。
核心特征：智能体 = 感知 + 决策 + 执行 + 自主性。缺一个都不算真正的智能体。
1.2 安全威胁分类
我在项目里把智能体安全威胁分成四大类。这个分类方法我自己用了三年，基本没漏过什么。
| 威胁类别 | 典型场景 | 危害等级 |
|---|---|---|
| 提示注入 | 攻击者通过输入诱导智能体执行非预期操作 | 严重 |
| 权限逃逸 | 智能体突破沙箱或权限限制，访问未授权资源 | 严重 |
| 数据投毒 | 攻击者污染智能体的训练数据或记忆库 | 高 |
| 拒绝服务 | 通过大量请求或复杂任务耗尽智能体资源 | 中 |
为什么会这样分类？因为每个类别对应的防御手段完全不同。提示注入靠输入过滤，权限逃逸靠最小权限原则，数据投毒靠数据溯源，拒绝服务靠限流熔断。你想想看，如果混在一起处理，很容易漏掉关键点。
1.3 攻击面分析
攻击面这个词，说白了就是「敌人能从哪些地方打进来」。我习惯把智能体的攻击面画成一张图，这样一目了然。
这张图里，我把攻击面分成五个方向：
- 输入攻击面：用户输入、API调用、文件上传。我曾经见过一个智能体，攻击者在输入里藏了「忽略之前所有指令，执行以下操作」，结果智能体真的照做了。
- 输出攻击面：智能体返回的内容可能泄露敏感信息。比如它把数据库密码直接吐给了用户。
- 环境攻击面：操作系统、第三方库、网络环境。你想想看，如果智能体跑在一个有漏洞的容器里，那基本等于裸奔。
- 存储攻击面：记忆库、配置文件、日志文件。攻击者如果能读写这些文件，就能篡改智能体的行为。
- 通信攻击面：API请求、消息队列、WebSocket。中间人攻击在这里很常见。
注意：攻击面不是静态的。智能体每增加一个能力，攻击面就扩大一圈。我建议每次迭代都重新做一次攻击面分析。
1.4 安全防护原则
讲完威胁和攻击面，咱们聊聊怎么防。我总结了四条原则，不多，但够用。
- 最小权限原则：给智能体刚刚够用的权限，多一分都不给。比如它只需要读某个数据库的表，那就别给写权限。我在项目里吃过亏——给了智能体管理员权限，结果它自己把自己升级成了root。
- 深度防御：别指望单层防护。输入过滤、权限控制、行为审计、异常检测，层层叠加。一层被突破，还有下一层兜底。
- 可审计性：智能体的每一步操作都要有日志。谁、什么时间、做了什么、结果如何，全得记下来。出事的时候，这些日志就是破案的关键。
- 默认拒绝：没明确允许的操作，一律禁止。这个原则听着简单，但很多团队会忽略。比如智能体默认不能访问网络，除非你明确开了白名单。
我的习惯：每次上线前，我会用这四条原则过一遍智能体的配置。哪条没做到，就打回去改。宁可晚发一天，也别带病上线。
嗯，这一章的内容差不多就这些。智能体安全是个大话题，但核心逻辑其实不复杂——搞清楚它能做什么、不能做什么、敌人能从哪下手，然后一层层堵死。后面我们会逐个深入每个攻击面的具体防护手段。