AI Agent 安全防御框架：四层抵御提示注入与工具投毒

当前的自主 Agent 和 MCP（Model Context Protocol）服务器生态系统非常亮眼，但在运维层面却是十足的安全噩梦。我们正在构建的系统会执行代码、访问数据库、基于本质上可被操纵的文本输出来做关键决策。

如果你在生产环境中部署 Agent，仅靠 System Prompt 来确保模型"乖乖听话"，那你就完全暴露在风险之中。

为了解决这个问题，我开发了一个分布式纵深防御框架，包含 4 个关键层级。这不是学术理论，而是可投入生产的确定性传感器和动态检测器。

第一层：入口过滤

攻击在模型处理 Token 之前就已经开始了。我们需要在文本和视觉媒介中拦截恶意向量。

hermes-shield：一款抗 prompt-injection 的输入净化器，通过 5 层串联操作来中和隐藏的恶意指令。

vision-injection-guard：专为 VLM 处理器设计的确定性传感器。在语言模型解释图像之前，检测视觉注入的恶意文本。

corpus-scrub：数据泄露防护工具。在训练或微调 LLM 之前，自动检测并删除语料库中的 PII（个人身份信息）和密钥。

第二层：出站代理

一旦 Agent 处于活跃状态，它不能在没有验证其意图的代理情况下直接与外部通信。

ai-guard-gateway：面向暴露端点的专业安全网关。实现 Rate Limiting、实时 PII 删除、注入检测和 OPA（Open Policy Agent）策略。

seblight：Sovereign Execution Broker。基于加密证书的权威机构，用于授权自主 Agent 发出的关键命令执行。

Misdirection Proxy：战略性诱饵。将攻击成功率（ASR）从 20% 降低到 0-2% 的范围，通过返回模拟响应来迷惑攻击者。

第三层：运行时 Hook

多步 Agent 需要在每次工具调用（tool-calls）之间进行持续评估。

agent-shield-runtime：一款部署 Hook，拦截 Agent 的每次工具调用，并针对 5 个关键传感器进行动态评估：

scope-lib：基于 3 个严格标准评估任务范围。

adi-shield：在 5 个动态向量中检测注入。

wallet-guard：财务护栏和预算无限循环检测。

goal-anchor：验证用户原始目标的完整性。

trajectory-sentinel：在整个会话中关联防御信号。

cross-session-memory-guard：只读传感器，监视多租户（multi-tenant）环境中跨会话的内存泄露。比较、观察并告警，但不改变模型状态。

第四层：工具链验证

Agent 的安全性取决于它被允许使用的工具（tools）。模式中毒是新的攻击向量。

mcp-schema-sentinel：检测 MCP 服务器中 tool-poisoning 或 rug-pull 攻击的传感器。如果可信工具的描述或模式在运行时被静默更改，通过确定性哈希告警。

skill-auditor：Agent 技能集合的审计工具。将每个技能用自然语言分类，搜索断裂的引用或硬编码的密钥。

额外验证层

没有任何安全架构是完整的，除非有经过校准的信任指标。这套框架的部分内容包括 dock-confidence 和 flood-confidence 等高级验证层，它们应用 Conformal Prediction 和事后估计来确保水文模型或药物发现模型在数学上严格的uncertainty范围内运行，避免统计幻觉。

整个生态系统基于自由许可证构建，采用纯 CPU 优先的方案，优化为本地运行，不依赖昂贵的 GPU 基础设施。

如果你正在部署自主 Agent，天真的时代已经结束了。保护好你的技术栈。