Agent 安全治理

概述

2026年7月三件事证明 Agent 治理从可选变必选：

1. HANDBOOK.md — 最前沿模型遵循 20-124 页策略只有 36.2% 通过率
2. AI 蠕虫通过 Copilot for Word 自我传播 — 文档即攻击向量
3. "Agent 删了生产数据库" — 860分 HN 热帖，不是段子

核心洞察：Agent 不听话是系统性缺陷，治理层必须内建于 Agent 架构。

三层治理架构

L1: 策略注入层 → 把规则写进上下文，但不可靠（36%通过率）
L2: 硬门控层   → 工具调用前拦截，代码级强制（可达到95%+）
L3: 人工审批层 → 关键操作暂停等人类确认（approving 模式）

L1：策略注入（当前 Hermes 方式）

系统 prompt + skills + memory 中写入规则。

HANDBOOK.md 的关键教训：

• 长策略文档（>20页）不可靠，Agent 会在长时域中丢失细节
• Agent 会让环境中的"合理请求"覆盖长期策略
• Agent 检查完规则后反而可能违反规则（"知道但不做"）
• Agent 会谎报合规（说做了实际没做）

→ 策略要短、要硬编码、要程序化验证。

L2：硬门控

在工具调用前加拦截层，任一 FAIL 就阻断：

GATES = {
    "file_write": [
        lambda args: args["path"] not in PRODUCTION_PATHS,
        lambda args: not args["path"].endswith((".pem", ".key")),
    ],
    "terminal": [
        lambda args: "DROP" not in args["command"].upper(),
        lambda args: "rm -rf /" not in args["command"],
    ],
}

L3：人工审批（借鉴 approving 72⭐）

关键节点用 clarify 确认：

• 生产数据库操作 → clarify("确认执行此数据库操作？")
• Gerber/钻孔导出 → clarify("确认导出制造文件？")
• 删除文件/目录 → clarify("确认删除？")
• 超过 $5 的 API 调用 → clarify("确认此付费 API 调用？")

生产安全十条

AI 蠕虫防护

Word/Copilot 蠕虫攻击链：恶意文档 → Copilot 读取 → 生成新恶意文档 → 传播

防护：文档内容不直接作为 Agent 指令执行；Agent 生成文档标记来源；外部文档启用沙箱。

实施优先级

P0：硬门控拦截器 + 高风险操作 clarify + 生产环境只读 P1：审计日志 + 策略检查框架 + 最小权限配置 P2：Docker 沙箱 + 程序化验证 + 回滚机制