用 Anthropic CISO「四问法」给生产环境 Agent 做安全体检

2026 年 7 月的行业信号很清楚：60% 的组织已经在跑生产 Agent，但治理与观测普遍缺位。竞争焦点从「模型能力」转向「可控、可复用、可协作、会进化」。换句话说：

过去：这个 Agent Demo 跑得真酷 ✅
现在：它删库了谁负责？能回滚吗？审计链在哪？⚠️

安全体检的目的不是「禁止用 Agent」，
而是用四问法给每一次放行一个可辩护的理由。

Agent 摄入的每一条数据、每一句指令，都要先判断来源可信度。不可信输入必须在沙箱里跑，不碰真实系统：

信任分级示例：
· 高信任：你团队自己写的提示词、内部授权数据库
· 中信任：已认证用户的输入、合作方 API
· 低信任：公开网页抓取内容、匿名外部邮件、用户上传文件

规则：
- 低信任输入 → 进隔离沙箱，禁止直连生产
- 任何「让 Agent 执行命令」的指令，先校验来源
- 外部内容默认不可信，不拿它当「授权凭证」

明确一张「可执行操作清单」，清单外的动作一律禁止。高敏动作必须人工审批：

可执行操作清单（示例，按业务裁剪）：
[允许] 读数据库（只读）、生成草稿、调内部只读 MCP
[需审批] 发邮件、写数据库、调用支付/扣款 API
[禁止] 删库、改生产配置、对外暴露密钥

落地：
- 用权限白名单，而非黑名单
- 敏感动作包一层 requires_action / 人工确认
- 像前面 Gemini Managed Agents 教程那样，
  把扣款等函数标记为 requires_action 转人工

假设 Agent 犯错了，最坏的代价应该是可接受的、可撤销的。所有写操作需支持可逆、可审计：

缩小爆炸半径的做法：
- 写操作前自动快照 / 事务包裹，出错即回滚
- 不在生产库直接改，先改影子库再人工合并
- 给 Agent 独立的低权限账号，而非你的管理员账号
- 设「预算上限 / 操作次数上限」，防止失控循环

反例：用管理员账号 + 全权限跑 Agent = 一次失误全站宕机。

你能不能实时看到 Agent 的决策、工具调用和中间状态？日志至少保留：决策链、工具输入输出、责任人：

可观测性必备：
- 每次工具调用的入参 / 出参都留痕
- Agent 的「为什么这么做」可追溯（决策链）
- 谁触发、谁审批，责任到人
- 接运行时护栏（见 Step 7）实时拦截异常

合规价值：GDPR、个保法、行业监管都要求
你能证明「Agent 在做什么、为什么做、谁负责」。

把四问法变成一张「Agent 上线体检表」，每接一个新 Agent 就过一遍：

□ 内容信任：所有输入来源都已分级？低信任走沙箱？
□ 允许动作：有最小化白名单？高敏动作需人工审批？
□ 爆炸半径：写操作可回滚？Agent 用独立低权限账号？
□ 可观测性：工具调用全留痕？决策链可追溯？责任到人？
□ 兜底：出事有没有一键暂停 / 回滚通道？

4 项全绿 → 可小流量放行
任一项红 → 先补治理，再上线

四问法帮你「定义该守什么」，但还需要一层在模型和业务系统之间执行规则的「安全与控制」平面。例如 2026 年 7 月发布的运行时控制平台（如 Alterion Draco）能监听 Agent 的 prompt / 动作 / payload，实时拦截敏感数据外流、阻止未授权写操作、记录完整决策链，且无需改 Agent 代码。Google 的 Agent Gateway 则在运行时层统一认证、授权、限流与策略执行：

推荐组合：
四问法（定规则）→ 运行时护栏（执行规则）→ 持续审计（留证据）

三步落地路径：
1. 单点闭环：选 1 个低风险任务先跑（如邮件分类）
2. 多步编排：扩到 3-5 步工具链，加人工审批节点
3. 受控自治：引入护栏 + 预算上限，逐步放开动作范围