7 维度运行时验证标准 CCS：让 AI Agent 操作可审计

7 维度运行时验证标准 CCS：让 AI Agent 操作可审计 | 前端进阶之旅

Full translation

完整中文译文

当你给 AI Agent 配备工具时，你就赋予了它真正的能力。它可以读取文件、调用 API、执行命令、访问网络。问题不在于它是否会受到攻击，而在于你能证明发生了什么。

过去几个月我一直在开发 Correctover，这是一个面向 AI Agent 的运行时授权与证据验证层。它在工具调用执行前进行拦截，在执行后扫描工具输出。核心模块在 Node.js 中 P50 延迟约 2.7 微秒，生产环境零依赖。

但代码本身并非真正的重点，真正的重点是它背后的标准。

CCS 是一个 7 维度运行时验证标准。每个工具调用都沿以下维度进行评估：

Structure（结构） — 输出结构是否与声明的 schema 匹配？

Schema（模式） — 字段值是否满足类型和范围约束？

Latency（延迟） — 调用是否在时间预算内完成？

Cost（成本） — 是否在 token 或费用限制内？

Identity（身份） — Agent 与工具的绑定关系是否与声明一致？

Integrity（完整性） — 是否存在带哈希链的 Ed25519 签名收据？

Security（安全） — 调用或输出是否包含注入、SSRF、凭证泄露或破坏性操作？

每个维度独立评分。部署时可以强制执行全部 7 个维度，也可只执行与威胁模型相关的部分。该标准已作为 IETF Internet-Draft draft-correctover-ccs-05 发布（64 页）。

网关位于模型前方，它们看到的是提示词和补全内容，看不到 Agent 决定调用工具与工具实际执行之间的语义边界。而这正是以下攻击发生的地方：SSRF 到达 169.254.169.254、命令注入到达 exec()、环境变量泄露到工具输出中，以及工具返回的提示词注入被 Agent 信任。

网关无法区分合法的 curl https://api.example.com 和恶意的 curl http://169.254.169.254/latest/meta-data/。它只看到文本。CCS 则能看到调用结构、目标、参数和输出——在决策转化为行动的那一刻。

npx correctover-scan --demo

此命令运行 5 个示例 MCP 服务器（4 个存在漏洞，1 个干净），并报告 CRITICAL/HIGH 级别发现及修复方案。无需安装、无需注册、无需配置。

npm install correctover

该包导出一个 guard，可包装任意 MCP 工具处理器。它支持仅审计模式（记录但不阻止），以便在强制执行前根据实际流量调整规则。

误报。如果你用它扫描真实的 MCP 或 DSH 流量时它标记了合法内容，这是最有价值的信息。

维度覆盖。这 7 个维度是完整的集合吗？你的使用场景是否有缺失？

集成摩擦。它在什么情况下会与你的框架产生冲突？

源代码托管在 Codeberg。英文落地页在此。欢迎提交 Issue 和 PR。

Correctover 是源码可用（而非 MIT 许可）。CCS 规范本身通过 IETF 开放。性能数据为微基准测试；Node.js 核心验证 P50 约 2.7 微秒，Python 端到端 P50 约 27 微秒。详见仓库中的测试方法论。