安全与隐私模式

为 AI 安全实现瑞士奶酪模型的多层安全架构

基于上下文、数据流需求和条件模式动态执行规则

专用护栏智能体，通过动态安全检查监控并保护目标智能体

智能体无法操纵的内部观测点，防止深层欺谋

保护智能体记忆系统免受恶意篡改和逐步破坏

防止智能体被操纵而通过工具执行恶意操作

通过严格的访问控制防止权限提升和未授权操作

终身自适应的安全系统，动态生成并优化安全检查

面向多智能体环境的全面威胁建模，并配合安全编排

保护系统提示免受提取和篡改企图

具有数学隐私保证的隐私保护数据处理

面向智能体安全的“从不信任、始终验证”方法

在不泄露私有数据的情况下，多个智能体之间的隐私保护协作

自动执行 GDPR、HIPAA、SOX 及各类法规合规

实时安全监控与自动化威胁响应

安全的智能体身份验证、授权和身份核验

面向智能体系统的全面数据匿名化技术，包括 K-anonymity、L-diversity、T-closeness 以及合成数据生成

基于硬件的可信执行环境（TEE），在不可信环境中保护AI智能体和数据处理

多层安全存储架构，结合本地设备保险库、远程服务器保险库和加密缓存，服务于智能体AI系统

分布式智能体架构，将本地处理智能体与远程聚合智能体相结合，采用先进的匿名化技术实现隐私保护型AI

将智能体拆分为两部分：一个特权LLM，只看到可信的用户指令并规划控制流与数据流；一个隔离LLM，处理不可信内容但永远无法影响控制流。能力追踪解释器强制执行显式的数据流策略，因此注入到工具输出中的指令永远无法触发未授权操作。这是通过设计实现的防御，而非概率性过滤。

一组低成本的变换手法，使不可信的外部文本能够可靠地与可信指令区分开来。定界（delimiting）用唯一的边界包裹外部内容，数据标记（datamarking）在不可信文本段的每一处空白中穿插一个特殊标记，而 base64 等编码则进一步将其与指令通道分离。它是抵御间接提示注入的一道廉价的初级防线，但在自适应攻击下会失效，因此应与分层防御结合使用。

在隔离环境中运行智能体生成的代码、shell命令以及对不可信内容的处理，该环境具有受限文件系统和经代理中转的网络出站白名单。即便是遭受提示注入的智能体，也无法读取主机密钥、触碰其范围之外的文件，或将数据外泄到未经批准的域名。隔离由 Seatbelt、bubblewrap 等操作系统原语、微型虚拟机或容器，或 E2B、Modal、Docker 等专用沙箱基础设施构建而成。

轻量级的输入和输出分类器，在由一部自然语言宪章生成的合成数据上训练，该宪章定义了允许和屏蔽的内容。它们以级联方式部署，廉价的筛查覆盖所有流量，可疑情形则升级处理；输出分类器能够在违规token出现的瞬间中止流式生成。这与 Constitutional AI 不同：Constitutional AI 在训练阶段对齐模型，而宪章分类器是从宪章训练而来、在运行时起作用的防护。

赋予智能体可验证的身份，以及范围受限、可审计的、代表用户行事的权限。短时效的 OAuth 与 OIDC 令牌映射到显式的能力，绑定意图的委托令牌编码了智能体被允许执行的操作，可验证凭证则让智能体能够跨 MCP 与 A2A 跳转建立信任。每一个操作都携带可核验的声明，因此权限可以事先约束、事后审计，超出范围的请求会在资源服务器处被拒绝。

在行为发生之前就限制失控智能体的最坏情况影响，而不仅仅是在事后检测滥用。工具按可逆性和影响进行分类（读取无需限制，写入需经验证，破坏性操作会被暂停）；权限按任务以最小权限原则限定范围；自主性是逐级授予的（从辅助，到提议并审批，到执行并审计，再到观察），并随着可靠性得到验证而逐步获得；不可逆的步骤会触发试运行或计划预览，让人类审查计划而非其后果；带有状态捕获与隔离功能的紧急停止开关可以在运行中途中止智能体。它与人在回路不同：后者是一种监督立场，而它是按可逆性来限定能力。它与智能体沙箱隔离不同：后者隔离执行环境，而它按每个工具的可逆性进行分级并逐级放开自主性。它与工具滥用防护不同：后者防御的是注入驱动的滥用，而非爆炸半径的分类。