如何构建 Agent 的运行时行为监控体系？

Agent 的运行时行为监控，不能只盯住最终回复，而应围绕“任务中的连续行动”建立可回放、可判定、可中断的控制体系。只要 Agent 能调用网络、文件、代码执行环境或凭证，单次输出合规就不足以证明系统安全。真正需要监控的是它如何读取信息、选择工具、处理反馈、调整参数，以及是否逐步偏离授权范围。

先建立完整的行为轨迹

每个任务都应拥有唯一的任务上下文，并关联 Agent 身份、负责人、任务目标、可用工具、数据域和风险等级。运行时记录不能只保存工具名称，还要覆盖调用顺序、参数变化、目标资源、工具返回内容、失败重试、权限请求、网络访问、数据外发，以及策略引擎的放行或拒绝结果。

这样才能识别跨步骤风险。单次读取测试文件可能没有明显问题，但如果 Agent 随后反复探测边界、扩大访问目标，并将结果组合起来，就不应再被视为普通查询。监控系统必须支持回放完整行为链，而不是只留下最终答案或零散日志。

把监控嵌入工具调用链

运行时控制至少应分为调用前、调用中和调用后三个阶段。调用前，根据身份、任务上下文、参数、目标资源和数据敏感度判断是否允许执行；读取、写入、执行、外发和权限变化应采用不同授权，而不是共享一套宽泛权限。

调用中，为任务设置时间、调用次数、失败重试、网络访问和数据传输预算。连续失败、重复访问、参数逐步扩大或策略拒绝持续出现时，应触发降级、暂停或熔断。调用后则记录实际结果与后续决策，保证策略版本、工具版本和上下文能够与任务关联。

关键原则是：模型只能提出动作，不能独立决定动作是否执行。最终放行应由模型之外的策略引擎完成，并采用默认拒绝和最小权限原则。

让高风险行为能够停下来

涉及敏感数据、外部通信、批量修改、代码执行、权限提升或不可逆操作时，应暂停任务并请求人工确认。审批界面需要展示具体动作、涉及资源、已完成步骤、潜在影响和临时权限范围，不能只显示“是否允许”。

同时，系统应预先定义熔断机制：发现越权尝试、异常网络访问或敏感数据外发时，冻结相关工具、撤销临时令牌并保全日志。评估运行时安全，也不能只看任务成功率，还要持续观察违规率、拒绝率、敏感数据拦截情况和事故恢复能力。Agent 的自主性只有被身份、策略、工具、日志和中断机制共同约束，才不会从局部异常演变为连续失控。