如何防止 AI Agent 审计日志被篡改?

在咖啡店里聊起 AI Agent 的审计日志，大家常会问：日志本身如果被篡改，所有的追责和合规根基就会倒塌。其实防止日志被篡改并不像把文件锁死那么简单，需要从“写入、存储、访问、留存”四个环节下手。

首先，写入环节要确保每条日志都带上不可伪造的指纹。IETF 的审计草案推荐使用 SHA‑256 哈希链：每生成一条日志，就把前一条记录的哈希值写进去，形成链式结构。这样即使攻击者想改动某条记录，也必须重新计算后续所有条目的哈希，成本几乎不可接受。

其次，日志的存储要与 Agent 的运行环境 隔离。把审计日志写入专用的审计库或安全事件管理平台（SIEM），而不是随业务数据库一起保存。隔离可以防止同一套权限被同时用于篡改业务数据和审计记录，降低单点失效的风险。

再次，访问控制必须双向审计。写入日志的权限应严格限定为 Agent 本身或可信的系统组件；读取日志的每一次操作也要记录“谁、何时、为何”并受限于最小权限原则。这样即使内部人员想偷偷抹掉痕迹，审计系统本身也会留下访问痕迹。

最后，按照欧盟 AI 法案等监管要求，日志需要 完整保留 整个系统生命周期。保留期间的存储介质应采用防篡改的写一次读多次（WORM）技术，或者定期把日志快照导出到不可变的对象存储并生成外部哈希校验文件。这样即使原始日志库被攻击，外部备份仍能提供可信的对比依据。

把这四个环节串起来，就形成了一条从生成到归档都难以被篡改的审计链。你可以回想一下自己团队的日志体系：是否已经在每条记录里加入了哈希链？日志是否写入了独立的审计库？读取日志的行为是否被审计？保留策略是否满足法规要求？如果还有缺口，下一步可以先在写入阶段加上哈希链，逐步完善其余环节。这样，当 AI Agent 出现异常时，审计日志仍然是最可靠的“真相”来源。