状态
Memory / Session
AI Security Insight Deck v9证据驱动 · 决策问题导向 · 非模板化叙事
01
我们已经知道什么，也清楚还不知道什么
用当前证据状态直接限定管理层可做的决策。
现在足以批准控制架构和证据契约，不足以做产品排名或生产就绪认证。
50证据9Claims9威胁17平台断言0独立产品佐证
可决定
控制架构、证据契约、风险分级、定向测试
不可决定平台排名、采购推荐、生产就绪认证
evidence_system_v3data/evidence_coverage.json
先给决策边界，再进入技术细节。01 / 18
02
安全对象不是一次回答，而是跨时间的执行权
重新定义Agent安全的控制对象。
身份
Agent / Workload
委托
Actor / Scope
工具
Action / Args
数据流
Source → Destination
副作用
Commit / Recovery
状态、身份、委托、工具、数据流和副作用共同组成持续权限。
CLM-001CLM-005CLM-007
我们保护的不是模型本身，而是它随时间获得和使用的权力。02 / 18
03
公开攻击证据已经穿透到工具和凭据层
用真实研究替代抽象威胁描述。
GitHub VS Code
不可信内容可触发凭据/文件暴露或代码执行
AgentDojo
工具型Agent在注入下发生任务劫持
MCP Tool Poisoning
客户端在参数可见性、告警和隔离上差异明显
结论不可信上下文可以改变工具选择、参数和授权使用，形成真实业务副作用。研究证明可行性，不证明生产发生率，也不能永久代表后续版本。
这不是“模型说错话”，而是“系统被诱导做错事”。03 / 18
04
Memory 是延迟生效的权限通道
把Memory从功能组件提升为安全控制对象。
Write
谁能写？来源是什么？
Persist
保留多久？是否版本化？
Retrieve
检索时如何过滤？
Act
能否直接触发工具？
写授权ProvenanceTTL检索过滤可清除
CLM-005THR-003data/memory_control_contract.json
Memory不是数据库问题，而是未来权限问题。04 / 18
05
Agent身份与工作负载身份解决不同问题
避免把业务责任和运行实例证明混为一谈。
Agent Identity
Sponsor · Blueprint · Actor · Disable
回答：谁负责、代表谁+
Workload Identity
SPIFFE ID · SVID · Attestation
回答：谁正在运行必须同时成立Agent身份回答“谁负责”，工作负载证明回答“谁在运行”。Entra是厂商能力证据；SPIFFE是标准基线，二者尚无统一效果比较。
EV-ENTRA-AGENT-IDEV-ENTRA-ACTOR-CHAINEV-ENTRA-REVOCATIONEV-SPIFFEEV-SPIRE
只有Agent ID，没有运行证明，仍可能被冒用；只有运行证明，也不知道业务责任。05 / 18
06
委托链必须保留“用户主体 + Agent Actor”
明确跨跳调用中的责任和权限收缩。
AudienceScopePurposeTTLActor chain
禁止把客户端Token原样透传给下游；每跳重新绑定资源和受众。
EV-OAUTH-RFC8693EV-MCP-AUTHEV-ENTRA-ACTOR-CHAINEV-AWS-AGENTCORE-OUTBOUND
身份回答是谁，委托回答代表谁，策略才回答能做什么。06 / 18
07
通过认证，不等于有权执行这个参数
将授权从连接层推进到动作、资源和参数层。
AuthN
谁已连接
Tool AuthZ
可调用哪个工具
Resource
针对哪个对象
Arguments
参数是否越界
Context
目的、时间、数据流
关键边界有效主体仍可能请求错误工具、错误资源或危险参数。当前参数级控制主要是官方实现面，独立绕过验证仍不足。
EV-OPA-ENVOYEV-AWS-AGENTCORE-POLICYCLM-002CLM-006
逐工具只是中间台阶，不是授权终点。07 / 18
08
Tool描述用于发现，不能用于授予权限
切断工具元数据与执行权限之间的隐式通道。
描述 / Prompt / Schema
用于发现和解释，不产生权限。
≠
Grant / Policy / Approval
决定允许的主体、动作、资源和参数。
工具注册、发现、授权三阶段分离；描述变更触发重新审查。
CLM-007EV-MCP-CLIENT-POISONINGTHR-006
描述可以告诉Agent“我能做什么”，但不能告诉系统“允许我做什么”。08 / 18
09
两个分别允许的工具，可以组合成一次未授权外泄
说明工具授权与数据流授权不是同一件事。
Agent可读取敏感数据A
+
Agent可写入外部目标B
≠
未获得数据流Grant
SourceClassificationDestinationPurposeRetention
THR-009INV-06data/execution_invariants.json
如果只看单个工具，系统会漏掉跨工具组合风险。09 / 18
10
Decision Receipt 不是一堆日志，而是一条可审计决定
定义授权决策的最小证据单元。
01Principal
02Actor
03Tool
04Resource
05Argument digest
06Policy revision
07Determining rules
08Decision
09Trace ID
10Redaction state
不是日志堆Receipt必须解释“为什么允许/拒绝”，并能与执行结果关联。同时设计完整性、最小化和隐私。
CLM-006data/decision_receipt_contract.jsonEV-OTEL-GENAI
没有确定规则和策略版本，日志无法解释为什么允许。10 / 18
11
可追责依赖跨系统证据关联，而不是单点日志
建立调查和责任认定所需的证据链。
主体与Actor
Correlation ID规则与版本
Correlation ID参数与结果
Correlation ID最终副作用
Correlation ID调查要求身份事件、策略决定、工具Trace和目标系统日志必须通过稳定关联ID连接。外部系统可能丢失关联ID；缺失链路必须被显式标记。
CLM-009THR-007EV-OTEL-GENAIsources/primary_source_pack_10_audit_attribution.md
能记录不等于能追责，关键是证据之间能否互相证明。11 / 18
12
签名证明“它是谁”，不能证明“它会不会作恶”
准确限定供应链签名、证明和扫描的价值。
来源
谁发布
完整性
是否被替换
扫描
已知风险
策略
是否准入
运行观测
实际行为
签名与Attestation不能证明语义安全；真实工具仍可能有漏洞或恶意行为。
CLM-008data/artifact_admission_contract.jsonsources/primary_source_pack_09_supply_chain_provenance.md
可信来源是下限，不是安全结论。12 / 18
13
恢复策略必须在动作发生前按可逆性分级
把恢复从事故后流程前移到授权前控制。
直接回滚
强制幂等、保存前镜像
业务补偿
定义补偿事务与Owner
仅可遏制
先审批、最小权限、快速撤权
不可逆
双人审批/禁止自动执行
核心区别撤权阻止未来访问；补偿修复已经发生的业务状态。撤销身份只能停止未来权限；补偿可能不完整、延迟或失败。
CLM-004EV-AWS-SAGAEV-AZURE-COMPENSATIONdata/side_effect_reversibility.json
恢复不是“有没有回滚按钮”，而是业务状态能否被安全修复。13 / 18
14
控制强度应随业务影响分级，而不是一刀切
将六控制面变成可执行的风险分级Profile。
L1 助手
L2 业务Agent
L3 高影响Agent
Discover按需必选增强必选Attest按需必选增强必选Delegate按需必选增强必选Enforce按需必选增强必选Observe按需必选增强必选Recover按需必选增强必选分级原则低风险助手可简化控制；高影响Agent必须闭合身份、委托、参数、数据流、Receipt和恢复。风险等级本身需要业务Owner确认，不能只由模型或平台自动决定。
data/execution_invariants.jsondata/decision_maturity_matrix.json
可信方案不是给所有Agent堆最多控制，而是把强控制放到真正高影响路径。14 / 18
15
市场能力正在增加，但产品级独立证据仍为空
把平台矩阵用于能力定位，而不是形成榜单。
对象能力面证据状态缺口
0独立产品级佐证 → 不排名、不采购推荐
data/platform_capabilities.jsonevidence_system_v3
市场的问题不是没有功能，而是缺少可比较、可复验的效果证据。15 / 18
16
下一步不是“大测一遍”，而是验证会改变决策的缺口
把有限实验资源投向证据冲突和关键未知。
Memory跨会话投毒
决定Memory准入Profile
参数策略绕过
决定高风险工具开放范围
跨工具数据流
决定Source→Destination Grant
Receipt完整性
决定是否可审计
补偿成功率
决定自动执行上限
实验门槛必须保留正常任务基线、原始输入、策略版本、Receipt和恢复记录。实验只解决会改变决策的不确定性。
data/evidence_coverage.jsonsources/insight_synthesis_v2.md
实验不是为了做更多分数，而是为了消除影响决策的不确定性。16 / 18
17
Reference方案：身份链 + Gateway策略 + Receipt + 恢复
将证据结论收敛成最小可实施控制架构。
User / Sponsor
业务责任与授权来源
Agent + Workload ID
Actor链与运行证明
Reference Gateway
Grant · 参数 · 数据流 · Receipt
Tool / Target
最小凭据与目标日志
Recovery
撤权 · 重建 · 补偿
SPIFFE / EntraRFC8693 / MCPOPA / CedarOpenTelemetrySaga / Compensation
EV-SPIFFEEV-OAUTH-RFC8693EV-MCP-AUTHEV-OPA-ENVOYEV-OTEL-GENAIEV-AWS-SAGA
Gateway不是全部答案，但它是把分散控制收敛成可执行规则的最佳落点。17 / 18
18
本轮建议：批准控制建设，拒绝过早结论
明确管理层当前可批准和应暂缓的事项。
批准
Reference控制架构
L1/L2/L3风险Profile
Decision Receipt等证据契约
五项定向验证
暂缓
跨平台安全排名
采购推荐
生产就绪认证
推进顺序建控制 → 留证据 → 定向验证 → 再比较
data/claims.jsondata/evidence_coverage.jsondata/decision_maturity_matrix.json
这不是停止推进，而是把推进顺序从“选产品”改为“建控制、留证据、再比较”。18 / 18
1 / 18