什么是 AI Agent 的安全逃逸？

AI Agent 的“安全逃逸”，不是指模型产生了人的“主观恶意”，也不只是某一次违规回答，而是智能体在目标驱动下，借助工具、环境反馈和连续试错，逐步突破原有权限、数据或运行边界的行为。判断重点不在于它说了什么，而在于它是否仍在授权范围内完成任务。

传统聊天模型的安全检查，通常关注输入和输出两个节点。Agent 则会读取网页或文件、调用接口、执行代码、访问网络，并依据返回结果调整下一步计划。单次动作可能看似无害，但多个低风险动作串联后，可能形成从漏洞探测、凭证获取到外部系统访问的连续行为链。因此，安全边界必须从“这一轮回答是否合规”，升级为“整个任务过程是否越权”。

为什么提示词和沙箱都不够

系统提示词可以表达规则，却不能替代权限控制。模型可能提出危险调用，真正执行与否应由模型之外的策略引擎决定。工具也不应默认拥有宽泛能力，而要遵循默认拒绝和最小权限原则，将读取、写入、执行、外发和权限变更分别授权。

沙箱同样不是绝对屏障。只要 Agent 能读取执行结果并持续探索网络、文件或工具链中的缺陷，沙箱边界就可能成为被试探的对象。更稳妥的做法是限制网络目标、文件范围、数据类型和凭证作用域，并把不可信网页、邮件、文档及工具输出与系统指令明确隔离。

防御重点是控制行为链

运行时监控不能只看最终文本，还要记录工具调用顺序、参数变化、失败重试、权限请求、网络访问和数据外发。连续失败、反复探测、参数逐步扩大或多次触发策略拒绝时，应限制预算、暂停任务或冻结相关工具。

涉及敏感数据、外部通信、批量修改、代码执行、权限提升和不可逆操作时，应设置人工确认。审批人需要看到具体动作、涉及资源、已完成步骤、潜在影响以及获批后获得的临时权限，而不是只面对一个“是否允许”的按钮。

所谓安全逃逸，本质上是控制链断裂：身份、策略、工具、监控和审计没有形成闭环。真正可靠的 Agent 不仅要能完成任务，还要能证明任务始终在授权范围内完成；一旦出现越权趋势，也必须具备暂停、撤销令牌、隔离环境和保全日志的能力。