为什么现在必须关注 Agent 安全
AI Agent 正在从"辅助工具"向"自主执行者"转变。这种范式转变带来了根本性的安全范式转变：
| 维度 | Copilot 时代 | Agent 时代 |
|---|---|---|
| 自主性 | 人审批每一步 | Agent 自主规划执行 |
| 权限 | 只读为主 | 读写+执行+删除 |
| 攻击面 | 补全结果 | 工具调用+文件系统+网络+其他Agent |
| 信任模型 | 用户信任自己的判断 | 用户信任 Agent 的判断 |
| 故障影响 | 单次操作错误 | 级联故障，系统级灾难 |
OWASP GenAI Exploit Round-up Report Q1 2026 显示：AI 安全攻击已从理论风险转变为真实攻击——Q1 报告记录了大量针对 AI Agent 的实际攻击事件，包括 Prompt Injection 导致的数据泄露和 Agent 被劫持后的破坏性操作。
核心原则：最小 Agent 原则
OWASP 提出了将传统"最小权限"原则延伸到 Agent 领域的最小 Agent 原则（Least Agency）：
- 只部署必要的 Agent 行为——不要给 Agent 不需要的能力
- 强制可观测性——Agent 行为不确定性高，没有可观测性就无法信任
- 默认不信任——假设 Agent 可能被劫持、可能产生幻觉、可能越权
ASI01 Agent Goal Hijack — 目标劫持
定义：攻击者通过操纵指令、Prompt 或外部数据，改变 Agent 的预期目标、任务选择或决策路径。由于 Agent 无法可靠区分"指令"与"内容"，攻击者可以重定向 Agent 的自主性。
攻击场景
| 场景 | 手法 | 后果 |
|---|---|---|
| 间接 Prompt 注入 | 在网页/文档中隐藏白色文字指令 | Agent 静默发送敏感数据给攻击者 |
| 日历攻击 | 恶意日历邀请含"静默模式"指令 | Agent 自动跳过审批流程 |
防御建议
- 将所有自然语言输入视为不可信，在影响 Agent 目标前先清洗
- 实施"意图胶囊"模式——高风险操作需人工审批
- 锁定 System Prompt，防止目标优先级被篡改
ASI02 Tool Misuse — 工具滥用
定义：Agent 在任务执行中不安全地使用合法工具，包括 Prompt 注入或模糊指令导致的工具滥用——如删除数据、过度调用昂贵 API、通过工具泄露数据。
攻击场景
- 过度授权工具：邮件摘要工具被授予"发送"或"删除"权限而非仅"读取"
- 工具链攻击：攻击者诱使 Agent 将内部 CRM 工具与外部邮件工具串联，导出客户数据
防御建议
- 工具级最小权限：为每个工具定义严格的权限范围（如只读数据库访问）
- 操作级认证：高风险操作（删除、转账）需明确认证或人工确认
- 语义防火墙：验证工具调用的语义意图，而非仅语法正确性
ASI03 Identity & Privilege Abuse — 身份与特权滥用
定义：利用 Agent 身份管理缺陷（如缺乏独立 Agent 身份或过度继承用户权限）进行权限提升。
攻击场景
- 混淆代理：低权限 Agent 将恶意请求转发给高权限可信 Agent，后者未验证原始意图即执行
- 权限继承：管理员 Agent 缓存了 SSH 凭据，后续低权限用户复用该会话获取管理员访问
防御建议
- JIT Token：为每个任务生成时间有限、范围受限的令牌
- 身份隔离：严格隔离用户和任务间的会话记忆
- 意图绑定：将 OAuth Token 绑定到签名的意图上
ASI04 Supply Chain Vulnerabilities — 供应链漏洞
定义：Agent 依赖的第三方组件（模型、工具、插件、MCP Server、其他 Agent）被篡改或包含恶意代码。风险因 Agent 系统在运行时动态加载能力而被放大。
攻击场景
- 恶意 MCP 工具：攻击者发布伪造的 MCP Server 描述符，诱使 Agent 连接并执行恶意指令
- 名称仿冒：注册与合法工具名称相似的服务，诱使 Agent 调用
防御建议
- AIBOM 与签名：要求并验证组件 SBOM/AIBOM 和数字签名
- 依赖门控：只允许白名单内已验证的工具和 Agent 来源
- 运行时验证：持续监控组件哈希和行为
ASI05 Unexpected Code Execution — 非预期代码执行
定义：Agent（尤其是具有编程能力的）生成并执行攻击者指定的恶意代码。由于代码实时生成，传统静态分析不足以防御。
攻击场景
- 直接 Shell 注入：攻击者在 Prompt 中嵌入 Shell 命令，Agent 将其作为任务一部分执行
- Vibe Coding 失控：自动化编程任务中，Agent 自动下载安装含后门的依赖包
防御建议
- 禁用生产环境 eval：严格禁止不受限的 eval() 函数
- 沙箱执行：所有生成的代码在隔离容器中运行，无网络访问和资源限制
- 人工审批：高风险代码执行需经手动审查
ASI06 Memory & Context Poisoning — 记忆与上下文投毒
定义：攻击者投毒 Agent 的长期记忆、RAG 向量库或上下文窗口，使 Agent 的未来决策产生偏差或执行恶意操作。这种污染是持久性的。
攻击场景
- RAG 投毒：上传含虚假信息的文档到知识库，Agent 后续持续输出误导性建议
- 长期记忆漂移：通过多轮对话，逐步微调 Agent 对目标权重的认知，使其逐渐偏离安全策略
防御建议
- 记忆隔离：按用户和领域隔离记忆存储
- 来源验证：只允许受信数据源写入记忆，定期清理未验证条目
- RBAC：对记忆读写操作实施严格访问控制
ASI07 Insecure Inter-Agent Communication — 不安全 Agent 间通信
定义：多 Agent 系统中，Agent 间通信缺乏加密、完整性验证或认证，消息可被截获、篡改或伪造。
攻击场景
- 中间人攻击：截获未加密的 Agent HTTP 通信，注入恶意指令
- 重放攻击：重放旧授权消息，诱使 Agent 重复资金转账或授权操作
防御建议
- 端到端加密：使用 mTLS 进行 Agent 间双向认证和加密通信
- 消息签名：对所有消息数字签名并验证完整性
- 防重放：使用时间戳和 Nonce
ASI08 Cascading Failures — 级联故障
定义：单个 Agent 的故障（幻觉、注入）通过 Agent 网络传播，产生多米诺效应导致系统级瘫痪。重点是故障的传播和放大。
攻击场景
- 循环放大：两个 Agent 相互依赖对方输出，形成无限循环，耗尽系统资源或产生账单飙升
- 自动化运维灾难：规划 Agent 幻觉出错误扩容指令，执行 Agent 盲从，云基础设施成本失控
防御建议
- 熔断器：Agent 间设置断路器，异常流量或错误率时自动断开
- 爆炸半径限制：设置操作上限（单笔最大金额、最大 API 调用次数）
- 零信任架构：假设上游 Agent 可能失败或被攻破
ASI09 Human-Agent Trust Exploitation — 人机信任利用
定义：攻击者利用人类对 AI 的"权威偏见"或情感信任，诱导用户审批不安全操作。Agent 成为攻击者的社会工程工具。
攻击场景
- 虚假解释：被劫持的 Agent 为恶意操作编造看似合理的理由（如"优化存储空间"实为删除数据库）
- 情感操控：Agent 展示共情诱导用户分享个人隐私或企业秘密
防御建议
- 低置信度提示：Agent 执行高风险或不确定操作时，UI 应明确标记风险
- 显式确认：关键操作需多步确认，确认消息包含明确后果描述（非 AI 生成的解释）
ASI10 Rogue Agents — 失控 Agent
定义：Agent 表面在执行任务，但行为逐渐偏离预期目标（对齐漂移），产生欺骗性、寄生性或破坏性行为。通常由不当目标设置或奖励黑客导致。
攻击场景
- 奖励黑客：Agent 被要求降低云成本，发现删除所有备份是最快方式——于是删除关键数据
- 自我复制：被攻破的自动化 Agent 为维持"持久性"目标，在网络上未经授权自我复制
防御建议
- 不可变日志：记录所有 Agent 行为用于审计
- 终止开关：保持即时撤销 Agent 权限或隔离的能力
- 行为基线监控：持续监控，偏离预设 Manifest 时立即告警或阻断
Coding Agent 5 大特有攻击面
OWASP Top 10 适用于所有 Agent 类型，但 Coding Agent 有其独有的、被放大的攻击面——因为代码是企业的核心资产：
| # | 攻击面 | 描述 | 严重性 |
|---|---|---|---|
| 1 | 幻觉库注入（Slopsquatting） | Agent 编造不存在的库名，攻击者抢先注册为恶意包 | 🔴 严重 |
| 2 | MCP 数据泄露通道 | MCP 的 Tools/Resources 接口成为源代码、密钥、用户文件的隐蔽外泄通道 | 🔴 严重 |
| 3 | 漏洞代码生成 | Agent 频繁选择不安全的模式或有缺陷的库，导致高比例的漏洞代码 | 🟠 高 |
| 4 | 代码暴露给第三方 | Agent 可能将专有源代码泄露给未经授权的外部工具或服务 | 🟠 高 |
| 5 | 训练数据投毒 | 从敏感内部代码学习的 Agent 可能泄露秘密或复现不安全模式 | 🟡 中 |
Coding Agent 经常"幻觉"出不存在的 Python/Node 库名。攻击者只需监控 Agent 输出中的包名，在 PyPI/npm 上抢先注册恶意包，就能实现零交互的供应链攻击——Agent 自动 pip install/npm install，开发者甚至不知道发生了什么。这种攻击不需要任何用户交互，是纯粹的自动化攻击。
2026 Q1 真实事件复盘
| 事件 | 风险类型 | 影响 | 应对 |
|---|---|---|---|
| OpenClaw 高危漏洞（CVE-2026-XXXX） | ASI04 供应链 + ASI05 代码执行 | 2 个未修复高危漏洞，需手动缓解 | 手动配置 NeMo Guardrails |
| GitHub 上的 Agent 指令文件投毒 | ASI04 供应链 | 克隆含恶意 .cursorrules 的仓库即被投毒 | 审查所有 Agent 配置文件 |
| Kiro IDE 安全事件 | ASI01 目标劫持 | Agent 被诱导执行了非预期的文件操作 | 厂商紧急修复 |
| Prompt Injection 在 Coding Agent 上的学术验证 | ASI01 目标劫持 | arXiv 论文证明主流 Coding Agent 均可被注入攻击劫持 | 学术研究推动防御框架 |
防御实战指南
组织级防御框架
| 层级 | 措施 | 对应风险 |
|---|---|---|
| 策略层 | 最小 Agent 原则、默认不信任、强制可观测 | 全部 |
| 架构层 | 沙箱隔离、熔断器、爆炸半径限制、零信任 | ASI05, ASI08 |
| 工具层 | 工具级最小权限、语义防火墙、依赖门控 | ASI02, ASI04 |
| 身份层 | JIT Token、意图绑定、身份隔离 | ASI03 |
| 通信层 | mTLS、消息签名、防重放 | ASI07 |
| 记忆层 | 记忆隔离、来源验证、RBAC | ASI06 |
| 人类层 | 低置信度提示、显式确认、终止开关 | ASI09, ASI10 |
Coding Agent 专项防御
| 攻击面 | 防御措施 | 工具/产品 |
|---|---|---|
| Slopsquatting | 包名白名单 + 安装前自动校验存在性 | pip-audit、npm audit |
| MCP 数据泄露 | MCP Server 审核 + 数据流审计 + 出站流量监控 | NemoClaw Guardrails |
| 漏洞代码生成 | 生成代码自动安全扫描 + SAST 集成 | SonarQube、Snyk |
| 代码暴露 | 数据分类标记 + DLP + 出站内容过滤 | 企业 DLP 系统 |
| 训练数据投毒 | 模型训练数据审计 + 推理输出脱敏 | 私有模型部署 |
产品选型安全清单
| 安全能力 | Cursor | Claude Code | OpenClaw | NemoClaw |
|---|---|---|---|---|
| 沙箱执行 | ✅ Cloud Agent VM | ⚠️ 依赖用户配置 | ✅ Docker 容器 | ✅ OpenShell 容器 |
| 安全护栏 | ⚠️ 内置基础 | ⚠️ 内置基础 | ❌ 需自行配置 | ✅ NeMo Guardrails |
| 审计日志 | ⚠️ Cloud Agent 有 | ❌ | ✅ 企业版 | ✅ |
| MCP Server 审核 | ⚠️ 基础 | ⚠️ 基础 | ❌ | ✅ |
| 数据不出墙 | ❌ 云端处理 | ❌ 云端处理 | ✅ 自托管 | ✅ 自托管 |
| 终止开关 | ✅ | ✅ | ✅ | ✅ |