仅靠提示词为何无法保障自主智能体安全，以及如何进行治理编排
当自主智能体安全仅依赖语法和系统提示词时，往往会防线崩溃。了解 Model Armor 和 Agent Anomaly Detection 如何有效缓解逻辑漏洞与风险。
Fabiano Brito
CEO & Google Cloud Architect, Autenticare
仅靠提示词为何无法保障自主智能体安全，以及如何进行治理编排
**自主智能体的安全会形同虚设**，当企业 AI 的防御严格依赖于内部代码语法或脆弱的 system prompts（系统提示词）指令时。在现代企业架构中，保护 AI 编排器需要一个实时执行的语义监控层，该层必须能够拦截恶意意图，而不受所执行命令在形式上是否有效的影响。
在 2026 年的企业级应用场景中，技术负责人和安全总监面临着深层次的架构挑战。应用程序已不再是单纯的文本生成器，而是开始从结构化数据库中读取数据、触发 webhooks 并执行金融交易。随着这种演变，传统的软件防御方法显得危险且过时，要求将安全责任从代码层面转移到治理平台层面。
基于语法和代码的安全错觉
保护软件集成的传统方法——例如将 [旧版 REST API 转换为供 AI 调用的工具](/blog/conversao-apis-rest-legadas-ferramentas/)——通常依赖于 Web 应用防火墙 (WAFs) 和正则表达式 (Regex)。然而，当严格针对语法的安全策略应用于自主智能体时，往往会暴露其 [致命的操作局限性](https://developers.googleblog.com/2026/09/build-zero-trust-ai-agents.html)。
核心问题在于指令的外在形式与其内在逻辑意图之间的差异。Google 最近详细指出，如果查询（SQL query 或 JSON payload）的语法有效，数据库解析器 (parsers) 就无法区分合法的商业退款和由社会工程学攻击诱导的资金转移。对于传统系统而言，指令是正确的；但对于企业而言，这是一个致命的逻辑安全漏洞。
- • 验证仅限于 Regex 规则和静态类型。
- • 无法识别社会工程学意图。
- • multi-turn（多轮）攻击在传统测试中不被察觉。
- • 严重依赖极易遭受 jailbreaks（越狱）攻击的 system prompts。
- • 关注智能体的真实意图，超越单纯的代码结构。
- • 基于广泛上下文推理的拦截机制。
- • 与应用逻辑解耦的安全策略。
- • 在运行时缓解行为偏差。
这种局面使得将合规性检查转移到具备语义治理能力的平台变得至关重要，该平台应优先考虑上下文分析，而非仅仅检查请求 payload 的结构。
Agent Anomaly Detection：无延迟的语义治理
[安全的编排架构](/blog/arquitetura-segura-orquestracao-conectar-gemini/)必须对最终用户透明，同时对攻击向量采取毫不留情的阻击。在 2026年9月15日 发布的一份架构详细说明中指出，将智能体代码层面的治理直接转移至平台管理员的举措，在结构层面极大地赋能了安全团队。
当前生态系统中该战略的核心组件是 Agent Anomaly Detection。该机制作为一种设计用于观察和分析轨迹（traces）的[带外（out-of-band）监控层](https://developers.googleblog.com/2026/09/agent-anomaly-detection-gemini-enterprise-agent-platform.html)（通过 OpenTelemetry），同时也会监控智能体生成的工具调用（tool calls）。这种架构带来的直接技术优势，是将检查过程与请求的关键路径（critical path）隔离开来。
零
在实时请求中产生零运行时附加延迟（zero added runtime latency），在不影响 AI 交付效能的前提下实现并行监控。
由于对行为和风险的分析是与应用响应流并行进行的（out-of-band），系统能够在拦截行为风险的同时，不会对客户或企业系统接收动态请求的性能造成任何惩罚。
中和 Multi-turn 攻击与 OWASP 标准威胁
针对编排器的攻击复杂性不能仅用一条恶意指令来概括。当今的威胁行为者通常采用 multi-turn 方法——这是一种长期的交互过程，旨在逐步诱导模型忽略逻辑限制，将破坏性有效负载分散在多次微妙的交互中。
为了应对这种级别的复杂性，[Agent Anomaly Detection 的流水线结合了轻量级的统计扫描和基于 LLM 的深度推理](https://developers.googleblog.com/2026/09/agent-anomaly-detection-gemini-enterprise-agent-platform.html)。统计算法以较低成本识别表面模式和流量体积上的异常，而语义推理则评估会话的全局意图，主动识别违反复杂准则的逻辑异常。
📊 统计扫描
对元数据和结构化调用进行快速向量分析，以较低的计算成本初步检测标准偏差。
🧠 语义推理
基于专用 LLM 的解释，评估交互的真实意图，以缓解微妙的 multi-turn 威胁。
🛡️ OWASP 拦截
基于对 OWASP Agentic Top 10 官方风险和威胁列表中映射的准则的明确违规进行拦截。
这些联合验证机制可防止 OWASP Agentic Top 10 中列出的致命缺陷，甚至能够保护涉及 [通过 Gemini 连接的应用（apps）](/blog/connected-apps-gemini-airtable-linear/)的工作流，在这些场景中，第三方工具需要由智能体以安全且自主的方式进行操作。
在 Gemini Enterprise Agent Platform 中的集中式集成
鉴于传统测试无法扩展以应对智能体非确定性架构的现实，Google 在 9月15日 的架构更新中强调，赋能平台管理员进行准则治理才是最安全的路径。
将防御机制转移至 Gemini Enterprise Agent Platform 层面不仅能集中风险管理，还大大减轻了开发团队的负担。该平台 [以托管的原生方式集成了 Model Armor、Semantic Governance Policies 以及带有 Closed-Loop Remediation 的 Agent Anomaly Detection](https://developers.googleblog.com/2026/09/build-zero-trust-ai-agents.html)。工程师们不再需要将检查逻辑分散在各个机器人的代码库中，整个防护体系都在 Zero Trust（零信任）拓扑下统一管理。
Model Armor
直接在模型响应流（输入和输出）中应用基础安全过滤器的初级拦截层。
Semantic Governance Policies
由平台团队定义的纯业务规则，与智能体原始软件开发完全解耦。
Closed-Loop Remediation
一种自动化机制，利用 Agent Anomaly Detection 的输出向系统提供反馈，确保持续修正安全态势。
这种架构使安全团队能够主动检查并缓解威胁，而不受各个开发团队在处理智能体 API 时成熟度高低的限制。
Private Preview、分类及报告的局限性
在 2026年9月16日，[Google 宣布 Agent Anomaly Detection 进入 Private Preview 阶段](https://developers.googleblog.com/2026/09/agent-anomaly-detection-gemini-enterprise-agent-platform.html)。这一面向特定客户和架构师的初始阶段，展示了支撑企业级规模运营的两项关键操作能力。
第一项能力是通过 Security Command Center 对发现的问题进行原生分类。异常事件不再仅仅被丢弃在无格式的文本日志中，而是被归类到 SecOps（安全运营）团队已经习惯使用的中央仪表板中，从而加快了事件响应速度。第二项能力是该工具提供了一个暴露的 API，一旦突破预设的风险阈值，即可自动进行程序化拦截，实现自主遏制措施。
| 功能 / 能力 | 集成化 Gemini 平台 | 常见静态过滤器 |
|---|---|---|
| Multi-turn 攻击拦截 | ✅ 是（通过 LLM 进行语义推理） | ❌ 不支持 |
| 运行时附加延迟 | ✅ 零（通过带外的 OpenTelemetry） | ⚠️ 中到高（在关键路径上的内联拦截） |
| OWASP Agentic Top 10 治理 | ✅ 原生且主动 | ⚠️ 部分 / 通过 Regex |
然而，部分基础设施领域仍缺乏官方规范。在撰写本文之前，Google 尚未公开确认通用可用性 (GA) 的最终细节、商业报价表格以及 Model Armor 在这些架构集成中的定价。初步文档也没有说明对大规模分析的最大吞吐量帧率的限制，更未明确提出为严格符合巴西 LGPD 法规场景量身定制的功能。在当前的测试阶段，企业对这些模型的采用主要集中在通用系统能力上。
摒弃对盲目乐观承诺和自由文本指令的依赖，是将安全防御落到实处的第一步，也是在企业世界中充分释放 AI 自动化潜能的开端。
FAQ
为什么传统的 Regex 和安全测试对 AI 智能体不起作用？
传统系统侧重于请求的结构和语法。由于针对智能体的漏洞攻击通常基于社会工程学和在多轮交互（multi-turn）中的恶意意图，一条命令的语法可能完全正确，却在同时非法外泄数据。因此，这能够轻易突破基于简单静态模式的防火墙。
Agent Anomaly Detection 以“带外”（out-of-band）方式运行是什么意思？
这意味着安全分析不在数据传输的主路由上进行。系统通过 OpenTelemetry 捕获轨迹（traces），并与实时流量并行分析行为风险。这种方式确保了扫描过程不会为应用调用带来任何运行时附加延迟（zero added runtime latency）。
集成 Gemini Enterprise Agent Platform 如何帮助开发团队？
它将复杂的合规性检查负担转移给了平台管理员。通过集中整合 Model Armor 和 Semantic Governance Policies（语义治理策略），开发团队可以严格专注于企业智能体的用例开发，将运行时的拦截和合规管理委托给平台托管的系统防御机制。