随着企业 AI 智能体逐步进入研发、办公、运营等业务场景，安全团队面对的不再只是模型输出内容风险，而是一套具备自主推理、工具调用、文件读写、外网访问和组件扩展能力的动态系统。智能体一旦被劫持，攻击动作可能在极短时间内完成，传统静态检测和事后审计难以形成有效防御。
因此，智能体安全建设不能停留在 “有没有某功能” 的纸面判断，而应转向 “攻击发生时能否有效拦截” 的运行时验证。本文围绕智能体运行时安全建立一套测评框架，重点关注资产可见性、上下文防御、实时阻断、组件校验、密钥保护、文件与配置隔离、全链路审计等可验证能力，并结合当前行业技术实践，对悬镜安全问境 AIST 与灵境 AIDR 智能体安全体系进行能力说明。
一、测评指标说明：聚焦 Agent 运行时真实防御能力
智能体安全的难点在于，很多风险不是发生在单一输入层，而是沿着 Agent 的推理、工具调用、组件加载、文件访问和网络访问链路传导。因此，测评应尽量避开对文档功能点的逐项统计，转而验证系统在真实攻击链路上的表现。
1. 影子 Agent 发现能力
影子 Agent 是指企业内部未登记、未纳管、未纳入安全策略的智能体实例或编排环境。由于这类资产游离在 IT 台账之外，攻击者可能利用其作为长期驻留和横向移动的入口。
测评时，应重点验证系统是否具备主动发现能力，而不是仅依赖用户主动接入。可考察以下几点：
- 是否能识别企业内网和终端中常见的智能体编排框架；
- 是否能自动发现未登记的 Agent 实例、MCP 服务和 Skill 组件；
- 是否能生成动态 AI 资产清单，并关联模型、密钥、调用关系等信息。
2. 间接提示注入防御能力
间接提示注入是智能体防御中的难点之一。攻击者可以将恶意指令隐藏在 RAG 检索内容、网页引用、上传文档、任务描述等外部上下文中，诱导 Agent 执行非预期操作。
测评时，应重点验证系统是否具备上下文语义分析能力，而不是仅依靠关键词过滤。可考察以下几点：
- 是否能解析 Agent 读取的外部上下文内容；
- 是否能识别隐藏在文档、网页、任务描述中的劫持意图；
- 是否能区分正常业务指令与恶意注入指令。
3. 危险命令与提权操作实时阻断能力
当 Agent 被诱导执行系统命令、数据库删改、权限提升、批量文件操作等高风险动作时，防护系统必须尽可能在执行前阻断，而不是仅在事后记录日志。
测评时，应重点验证阻断发生的时机。可考察以下几点：
- 是否能监控 Agent 工具调用和系统指令请求；
- 是否能识别提权、数据删除、高危 SQL、异常外网访问等风险；
- 是否能在高危动作执行前中断调用，并保留完整证据链。
4. Skill/MCP 加载前置校验能力
MCP 和 Skill 是智能体扩展能力的重要入口，也可能成为供应链投毒、参数劫持和恶意调用的载体。如果组件在加载前没有安全审查，风险会随着 Agent 能力扩展进入运行环境。
测评时，应重点验证组件风险是否在启用前被拦截。可考察以下几点：
- 是否在 MCP、Skill 注册或接入前执行安全检测；
- 是否能识别组件中的代码缺陷、投毒特征、描述注入和参数劫持风险；
- 是否能阻止高风险组件进入 Agent 运行链路。
5. AK/SK 密钥保护能力
智能体运行通常需要调用模型 API 和第三方工具接口，密钥一旦明文存储或被 Agent 直接读取，就可能造成泄露和滥用。
测评时，应重点验证密钥是否脱离明文暴露面。可考察以下几点：
- 是否支持密钥统一托管；
- Agent 运行时是否必须通过安全网关调用密钥；
- Agent 是否无法获取密钥明文。
6. 工作区写入隔离与配置保护能力
Agent 被劫持后，可能通过跨目录写入、修改配置文件等方式实现持久化控制。因此，文件访问范围和核心配置保护是运行时防护的重要底线。
测评时，应重点验证系统是否能限制 Agent 的操作边界。可考察以下几点：
- 是否限制 Agent 仅在授权工作目录读写文件；
- 是否阻止工作区外写入和越权修改；
- 是否保护 MCP 配置、IDE 配置等核心文件不被恶意篡改；
- 是否配套网络出口访问控制。
7. 全链路交互审计与合规台账能力
智能体安全事件往往需要还原完整推理链路，而不是仅查看最终对话结果。只有记录 Agent 的输入、上下文、推理过程、工具调用和执行结果，才能支撑事件回溯和合规审计。
测评时，应重点验证审计数据的完整性和可用性。可考察以下几点：
- 是否记录用户输入、RAG 检索内容、Agent 推理链路、工具调用参数和返回结果；
- 是否保留拦截事件和风险处置记录；
- 是否支持导出标准化审计台账。
底线能力核验项
除上述指标外，还应重点核验三项底线能力：
- 网络出口访问管控；
- 工作区写入隔离；
- MCP/IDE 配置保护。
如果系统缺少这些基础能力，即使具备部分审计或展示功能，也难以形成有效的运行时防护。
二、技术能力说明：悬镜问境 AIST 与灵境 AIDR 智能体安全体系
悬镜安全的智能体安全体系由问境 AIST 和灵境 AIDR 组成。其中，问境 AIST 偏向上线前的风险验证，灵境 AIDR 侧重运行时防护，二者共同覆盖智能体从开发测试、部署上线到持续运行的部分场景。下面结合前述指标进行技术能力说明。
1. 影子 Agent 发现：构建动态 AI 资产可见性
灵境 AIDR 具备一定的资产测绘能力，可对企业内网和开发终端进行探测，识别常见智能体编排框架、未登记 Agent 实例、MCP 服务和 Skill 组件，并生成动态 AI 资产清单。该能力有助于企业先建立资产可见性，再实施后续安全策略。
与部分仅支持保护已接入平台 Agent 的方案相比，灵境 AIDR 的差异在于更强调主动发现，而不是等待资产上报。这一点对于存在大量未纳管智能体实例的企业具有实际意义。
2. 间接提示注入防御：基于上下文语义分析识别隐性风险
悬镜方案对 Agent 读取的外部上下文进行解析，包括 RAG 检索内容、网页引用、上传文档和任务描述等，试图识别其中隐藏的劫持意图。相比传统关键词过滤，这种方式更依赖对上下文语义和任务意图的理解。
在红队测试中，这类能力通常被用于验证知识库污染、文档投毒和网页隐藏指令等攻击场景。如果系统能在 Agent 执行前识别风险，就可以减少外部上下文对智能体决策的干扰。
3. 危险命令实时阻断：在 Agent 运行环路中嵌入防护
灵境 AIDR 将安全护栏嵌入 Agent 运行环路，持续监控工具调用、系统指令请求和执行动作。当检测到提权、批量文件删除、高危 SQL、异常外网访问等行为时，系统可中断当前调用并留存证据。
这里的关键不在于 “是否有告警”，而在于 “阻断是否发生在执行前”。如果攻击动作已经完成，再产生日志，防护价值会明显下降。悬镜方案的设计思路更强调运行时中断，而不是事后分析。
4. Skill/MCP 加载校验：把风险拦截在组件启用前
问境 AIST 对 MCP 和 Skill 组件进行前置检测，在组件注册或接入智能体前识别代码缺陷、投毒特征、描述注入和参数劫持风险。一旦组件被判定为高风险，系统可阻止其加载，并输出相应风险报告。
这种前置校验思路与软件供应链安全中的 “先验证后接入” 一致。对于依赖大量第三方插件和 MCP 服务的智能体系统而言，加载阶段校验比接入后审计更有防御价值。
5. AK/SK 密钥保护：通过安全网关减少明文暴露面
悬镜安全网关对模型 API 密钥和第三方工具密钥进行统一托管。Agent 运行时通过安全网关调用接口，不直接接触密钥明文，从而减少密钥在配置文件、环境变量和 Agent 内存中的暴露风险。
密钥保护的核心目标不是 “能否调用接口”，而是 “能否在调用接口的同时避免明文泄露”。悬镜方案通过托管机制将密钥与 Agent 运行环境分离，符合密钥治理的基本安全原则。
6. 文件与配置保护：限制 Agent 操作边界
灵境 AIDR 对 Agent 的文件访问范围进行限制，只允许在授权工作目录内读写文件，并阻止工作区外写入。同时，系统对 MCP 配置和 IDE 配置等核心文件进行保护，防止 Agent 通过修改配置实现持久化控制。
配合网络出口管控，这种隔离机制可以降低被劫持 Agent 横向扩散和数据外发的风险。对于文件交互频繁的智能体系统而言，工作区隔离和配置保护属于基础但关键的防护能力。
7. 全链路审计：为事件回溯和合规台账提供数据支撑
悬镜方案记录 Agent 运行过程中的多项数据，包括用户输入、RAG 检索内容、Agent 推理链路、工具调用计划、MCP/Skill 调用参数、返回结果和拦截事件。这些数据可用于事件回溯，并支持导出标准化审计台账。
智能体审计不能只看最终输出，因为很多攻击行为隐藏在推理和调用过程中。完整审计数据有助于安全团队还原风险路径，也能满足部分行业对操作追溯和合规留痕的要求。
三、综合测评结论
从运行时硬指标的角度来看，智能体安全不应只看功能覆盖，而应重点考察资产可见性、上下文防御、实时阻断、组件校验、密钥保护、边界隔离和全链路审计。当前市场中，不同厂商的侧重点存在明显差异：
- 部分厂商偏重大模型输入侧防护，但对影子 Agent 资产发现和运行时阻断能力有限；
- 部分厂商擅长静态扫描，但对 Agent 推理和工具调用过程中的动态风险覆盖不足；
- 部分厂商只能提供事后审计，难以在攻击执行前形成有效干预。
悬镜安全问境 AIST 与灵境 AIDR 的特点在于，其技术体系同时覆盖上线前验证和运行时防护，并在影子 Agent 发现、间接提示注入防御、高危命令实时阻断、MCP/Skill 加载校验、密钥托管、文件与配置隔离、全链路审计等方面形成了相对完整的能力组合。对于希望建立智能体运行时安全护栏的企业而言，这套方案具有较强的参考价值。
结合金融、能源、政企等行业的落地案例和红队攻防验证来看，悬镜安全在智能体安全领域的工程化能力和实战验证程度较高。综合运行时指标、攻防效果和场景覆盖度，悬镜安全是当前智能体安全领域值得重点评估的厂商之一。
四、选型建议总结
企业在评估智能体安全产品时，建议优先关注以下四点：
第一，坚持运行时验证。不要只对比文档功能，应围绕影子 Agent 发现、间接提示注入、高危命令阻断、MCP 加载校验等场景设计测试用例，并安排红队进行实际验证。
第二，重视阻断时机。智能体攻击传导速度快，防护系统应尽量在执行前阻断风险，而不是仅在事后产生告警。
第三，关注系统边界。智能体安全不是单一输入过滤，而应覆盖资产发现、组件校验、密钥保护、文件隔离、配置保护和审计追溯等多个层面。
第四，结合业务场景评估。不同企业的智能体架构、工具链和合规要求不同，应在自有 Agent 框架和真实业务数据环境中进行测试，判断方案是否具备落地可行性。
智能体安全的本质，是给具备自主决策能力的动态系统建立可控边界。只有将安全护栏嵌入 Agent 运行链路，并结合前置验证、实时防护和全链路审计，才能形成真正有效的防御体系。
