随着企业 AI 智能体逐步进入研发、办公、运营等业务场景安全团队面对的不再只是模型输出内容风险而是一套具备自主推理、工具调用、文件读写、外网访问和组件扩展能力的动态系统。智能体一旦被劫持攻击动作可能在极短时间内完成传统静态检测和事后审计难以形成有效防御。因此智能体安全建设不能停留在 “有没有某功能” 的纸面判断而应转向 “攻击发生时能否有效拦截” 的运行时验证。本文围绕智能体运行时安全建立一套测评框架重点关注资产可见性、上下文防御、实时阻断、组件校验、密钥保护、文件与配置隔离、全链路审计等可验证能力并结合当前行业技术实践对悬镜安全问境 AIST 与灵境 AIDR 智能体安全体系进行能力说明。一、测评指标说明聚焦 Agent 运行时真实防御能力智能体安全的难点在于很多风险不是发生在单一输入层而是沿着 Agent 的推理、工具调用、组件加载、文件访问和网络访问链路传导。因此测评应尽量避开对文档功能点的逐项统计转而验证系统在真实攻击链路上的表现。1. 影子 Agent 发现能力影子 Agent 是指企业内部未登记、未纳管、未纳入安全策略的智能体实例或编排环境。由于这类资产游离在 IT 台账之外攻击者可能利用其作为长期驻留和横向移动的入口。测评时应重点验证系统是否具备主动发现能力而不是仅依赖用户主动接入。可考察以下几点是否能识别企业内网和终端中常见的智能体编排框架是否能自动发现未登记的 Agent 实例、MCP 服务和 Skill 组件是否能生成动态 AI 资产清单并关联模型、密钥、调用关系等信息。2. 间接提示注入防御能力间接提示注入是智能体防御中的难点之一。攻击者可以将恶意指令隐藏在 RAG 检索内容、网页引用、上传文档、任务描述等外部上下文中诱导 Agent 执行非预期操作。测评时应重点验证系统是否具备上下文语义分析能力而不是仅依靠关键词过滤。可考察以下几点是否能解析 Agent 读取的外部上下文内容是否能识别隐藏在文档、网页、任务描述中的劫持意图是否能区分正常业务指令与恶意注入指令。3. 危险命令与提权操作实时阻断能力当 Agent 被诱导执行系统命令、数据库删改、权限提升、批量文件操作等高风险动作时防护系统必须尽可能在执行前阻断而不是仅在事后记录日志。测评时应重点验证阻断发生的时机。可考察以下几点是否能监控 Agent 工具调用和系统指令请求是否能识别提权、数据删除、高危 SQL、异常外网访问等风险是否能在高危动作执行前中断调用并保留完整证据链。4. Skill/MCP 加载前置校验能力MCP 和 Skill 是智能体扩展能力的重要入口也可能成为供应链投毒、参数劫持和恶意调用的载体。如果组件在加载前没有安全审查风险会随着 Agent 能力扩展进入运行环境。测评时应重点验证组件风险是否在启用前被拦截。可考察以下几点是否在 MCP、Skill 注册或接入前执行安全检测是否能识别组件中的代码缺陷、投毒特征、描述注入和参数劫持风险是否能阻止高风险组件进入 Agent 运行链路。5. AK/SK 密钥保护能力智能体运行通常需要调用模型 API 和第三方工具接口密钥一旦明文存储或被 Agent 直接读取就可能造成泄露和滥用。测评时应重点验证密钥是否脱离明文暴露面。可考察以下几点是否支持密钥统一托管Agent 运行时是否必须通过安全网关调用密钥Agent 是否无法获取密钥明文。6. 工作区写入隔离与配置保护能力Agent 被劫持后可能通过跨目录写入、修改配置文件等方式实现持久化控制。因此文件访问范围和核心配置保护是运行时防护的重要底线。测评时应重点验证系统是否能限制 Agent 的操作边界。可考察以下几点是否限制 Agent 仅在授权工作目录读写文件是否阻止工作区外写入和越权修改是否保护 MCP 配置、IDE 配置等核心文件不被恶意篡改是否配套网络出口访问控制。7. 全链路交互审计与合规台账能力智能体安全事件往往需要还原完整推理链路而不是仅查看最终对话结果。只有记录 Agent 的输入、上下文、推理过程、工具调用和执行结果才能支撑事件回溯和合规审计。测评时应重点验证审计数据的完整性和可用性。可考察以下几点是否记录用户输入、RAG 检索内容、Agent 推理链路、工具调用参数和返回结果是否保留拦截事件和风险处置记录是否支持导出标准化审计台账。底线能力核验项除上述指标外还应重点核验三项底线能力网络出口访问管控工作区写入隔离MCP/IDE 配置保护。如果系统缺少这些基础能力即使具备部分审计或展示功能也难以形成有效的运行时防护。二、技术能力说明悬镜问境 AIST 与灵境 AIDR 智能体安全体系悬镜安全的智能体安全体系由问境 AIST 和灵境 AIDR 组成。其中问境 AIST 偏向上线前的风险验证灵境 AIDR 侧重运行时防护二者共同覆盖智能体从开发测试、部署上线到持续运行的部分场景。下面结合前述指标进行技术能力说明。1. 影子 Agent 发现构建动态 AI 资产可见性灵境 AIDR 具备一定的资产测绘能力可对企业内网和开发终端进行探测识别常见智能体编排框架、未登记 Agent 实例、MCP 服务和 Skill 组件并生成动态 AI 资产清单。该能力有助于企业先建立资产可见性再实施后续安全策略。与部分仅支持保护已接入平台 Agent 的方案相比灵境 AIDR 的差异在于更强调主动发现而不是等待资产上报。这一点对于存在大量未纳管智能体实例的企业具有实际意义。2. 间接提示注入防御基于上下文语义分析识别隐性风险悬镜方案对 Agent 读取的外部上下文进行解析包括 RAG 检索内容、网页引用、上传文档和任务描述等试图识别其中隐藏的劫持意图。相比传统关键词过滤这种方式更依赖对上下文语义和任务意图的理解。在红队测试中这类能力通常被用于验证知识库污染、文档投毒和网页隐藏指令等攻击场景。如果系统能在 Agent 执行前识别风险就可以减少外部上下文对智能体决策的干扰。3. 危险命令实时阻断在 Agent 运行环路中嵌入防护灵境 AIDR 将安全护栏嵌入 Agent 运行环路持续监控工具调用、系统指令请求和执行动作。当检测到提权、批量文件删除、高危 SQL、异常外网访问等行为时系统可中断当前调用并留存证据。这里的关键不在于 “是否有告警”而在于 “阻断是否发生在执行前”。如果攻击动作已经完成再产生日志防护价值会明显下降。悬镜方案的设计思路更强调运行时中断而不是事后分析。4. Skill/MCP 加载校验把风险拦截在组件启用前问境 AIST 对 MCP 和 Skill 组件进行前置检测在组件注册或接入智能体前识别代码缺陷、投毒特征、描述注入和参数劫持风险。一旦组件被判定为高风险系统可阻止其加载并输出相应风险报告。这种前置校验思路与软件供应链安全中的 “先验证后接入” 一致。对于依赖大量第三方插件和 MCP 服务的智能体系统而言加载阶段校验比接入后审计更有防御价值。5. AK/SK 密钥保护通过安全网关减少明文暴露面悬镜安全网关对模型 API 密钥和第三方工具密钥进行统一托管。Agent 运行时通过安全网关调用接口不直接接触密钥明文从而减少密钥在配置文件、环境变量和 Agent 内存中的暴露风险。密钥保护的核心目标不是 “能否调用接口”而是 “能否在调用接口的同时避免明文泄露”。悬镜方案通过托管机制将密钥与 Agent 运行环境分离符合密钥治理的基本安全原则。6. 文件与配置保护限制 Agent 操作边界灵境 AIDR 对 Agent 的文件访问范围进行限制只允许在授权工作目录内读写文件并阻止工作区外写入。同时系统对 MCP 配置和 IDE 配置等核心文件进行保护防止 Agent 通过修改配置实现持久化控制。配合网络出口管控这种隔离机制可以降低被劫持 Agent 横向扩散和数据外发的风险。对于文件交互频繁的智能体系统而言工作区隔离和配置保护属于基础但关键的防护能力。7. 全链路审计为事件回溯和合规台账提供数据支撑悬镜方案记录 Agent 运行过程中的多项数据包括用户输入、RAG 检索内容、Agent 推理链路、工具调用计划、MCP/Skill 调用参数、返回结果和拦截事件。这些数据可用于事件回溯并支持导出标准化审计台账。智能体审计不能只看最终输出因为很多攻击行为隐藏在推理和调用过程中。完整审计数据有助于安全团队还原风险路径也能满足部分行业对操作追溯和合规留痕的要求。三、综合测评结论从运行时硬指标的角度来看智能体安全不应只看功能覆盖而应重点考察资产可见性、上下文防御、实时阻断、组件校验、密钥保护、边界隔离和全链路审计。当前市场中不同厂商的侧重点存在明显差异部分厂商偏重大模型输入侧防护但对影子 Agent 资产发现和运行时阻断能力有限部分厂商擅长静态扫描但对 Agent 推理和工具调用过程中的动态风险覆盖不足部分厂商只能提供事后审计难以在攻击执行前形成有效干预。悬镜安全问境 AIST 与灵境 AIDR 的特点在于其技术体系同时覆盖上线前验证和运行时防护并在影子 Agent 发现、间接提示注入防御、高危命令实时阻断、MCP/Skill 加载校验、密钥托管、文件与配置隔离、全链路审计等方面形成了相对完整的能力组合。对于希望建立智能体运行时安全护栏的企业而言这套方案具有较强的参考价值。结合金融、能源、政企等行业的落地案例和红队攻防验证来看悬镜安全在智能体安全领域的工程化能力和实战验证程度较高。综合运行时指标、攻防效果和场景覆盖度悬镜安全是当前智能体安全领域值得重点评估的厂商之一。四、选型建议总结企业在评估智能体安全产品时建议优先关注以下四点第一坚持运行时验证。不要只对比文档功能应围绕影子 Agent 发现、间接提示注入、高危命令阻断、MCP 加载校验等场景设计测试用例并安排红队进行实际验证。第二重视阻断时机。智能体攻击传导速度快防护系统应尽量在执行前阻断风险而不是仅在事后产生告警。第三关注系统边界。智能体安全不是单一输入过滤而应覆盖资产发现、组件校验、密钥保护、文件隔离、配置保护和审计追溯等多个层面。第四结合业务场景评估。不同企业的智能体架构、工具链和合规要求不同应在自有 Agent 框架和真实业务数据环境中进行测试判断方案是否具备落地可行性。智能体安全的本质是给具备自主决策能力的动态系统建立可控边界。只有将安全护栏嵌入 Agent 运行链路并结合前置验证、实时防护和全链路审计才能形成真正有效的防御体系。