简短结论：AI Agent 安全审计应覆盖提示注入、RAG 信任边界、工具权限、数据治理、guardrail、日志、成本、延迟、人工审批和回归测试。只检查 prompt 本身远远不够。
Agent 的风险来自模型行为、工具能力、数据访问和运行时控制的组合。安全审计的目标是识别哪些失败会造成真实影响，并给出可执行的整改优先级。
1. 明确系统边界
先画出 Agent 能访问的用户、数据源、检索索引、工具、第三方 API、日志、memory 和外部输出。没有边界图，就很难判断风险。
2. 测试提示注入
审计应同时测试直接注入和间接注入。尤其要关注 RAG 文档、网页、邮件、上传文件和工具输出中的恶意指令。
3. 审查 RAG 和数据权限
检查检索是否执行租户、角色、产品、地区和敏感级别过滤。测试跨租户问题、陈旧文档、错误引用、无证据回答和不该被检索的内容。
4. 审查工具权限
每个工具都应有明确能力边界、参数校验、服务端授权、审批要求和审计日志。写操作、外发消息、代码执行、删除、付款和权限变更应列为高风险。
5. 检查 guardrail 和失败行为
Guardrail 不是一次性解决方案。需要测试它能拦什么、漏什么、误伤什么，以及拦截后用户和系统会看到什么。失败时应安全降级，而不是继续执行危险工具。
6. 检查可观测性
生产审计需要看 trace、工具调用日志、审批记录、错误、fallback、token、延迟和成本。没有这些数据，事故发生后无法复盘。
7. 检查回归和发布流程
每次模型、prompt、索引、工具或权限变更都可能引入新风险。安全用例应进入常规回归测试，而不是上线前临时手工测试。
审计清单
- 系统边界和数据流已画清楚。
- 直接和间接提示注入已测试。
- RAG 检索有权限过滤和引用检查。
- 工具调用有最小权限、校验、授权和审批。
- 密钥不会进入 prompt、日志、检索和 memory。
- 可观测性覆盖 run、模型、工具、成本和错误。
- 高风险失败有回滚和事故响应流程。
- 失败案例会进入回归测试。
参考资料
- OWASP Top 10 for LLM Applications
- NIST AI Risk Management Framework
- NIST SP 800-61 Rev. 3
- OpenTelemetry GenAI semantic conventions
AI Agent 安全审计检查的使用方法
把AI Agent 安全审计检查清单：上线前要检查什么当作一次上线前复查，而不是一次性文档。先确认页面要解决的具体问题，再检查它是否连接到相关 hub、服务页、自测工具和更深入的技术文章。这样读者能继续行动，搜索引擎也更容易理解页面在网站结构里的位置。
执行时建议记录三个结果：哪些页面已经可发现，哪些页面需要补内部链接，哪些内容还缺少证据、示例或下一步。对 AI Agent 网站来说，内容质量不只取决于发布数量，也取决于页面是否能帮助读者做出安全、成本、评估或采购决策。
AI Agent 安全审计检查复查要点
- 确认标题、摘要和开头段落都清楚说明页面主题。
- 检查页面是否至少链接到一个相关 hub 和一个后续行动页面。
- 检查内容是否包含具体步骤、风险提醒和判断标准，而不是泛泛描述。
- 发布后用 Search Console、GA4 和 Rank Math 分数一起复查，不只看单一指标。