用 Google ADK 构建零信任 AI Agent：生产安全清单

来源: https://developers.googleblog.com/build-zero-trust-ai-agents-with-googles-agent-development-kit/

简明结论：生产 Agent 需要硬边界

系统提示词不是安全控制。它只是给概率模型的指令。Google 的文章强调，零信任设计要假设模型可能被诱导，因此把关键约束放到提示词之外。核心有三层：每一次状态变更都要有可验证身份，生成代码必须在隔离环境运行，输入、输出和工具调用要经过确定性网关检查。

为什么 Agent 安全正在成为热门搜索话题

AI Agent 正从演示进入客服、数据分析、内容流水线和开发运维。团队想知道如何防 prompt injection、如何安全执行不可信代码、如何审计自主决策。Google 的示例是退款客服 Agent：正常情况下它计算退款并写入账本；攻击时用户要求忽略规则、退款过高金额并打印环境变量。如果应用信任模型，攻击者就等于在直接操作运行时和数据库。

清单一：为每次重要写入签名

不要让所有 worker 共用一个宽泛数据库连接。每个 Agent 都应使用自己的密钥为状态变更载荷签名，由数据库入口或 API 层在提交前验证。这样可以回答三个问题：哪个 Agent 创建了记录，批准的原始载荷是什么，存储数据是否仍与批准内容一致。资金、账号权限、发布系统和审核操作尤其需要这种证据。

清单二：隔离生成代码

许多 Agent 会生成脚本做计算、解析文件或清理数据。用服务器普通权限运行这些脚本很危险。Google 提到的思路包括 gVisor 类隔离、禁止网络出口、移除能力、限制内存和设置短超时。小团队至少应做到：不要在持有生产密钥的进程里运行模型生成代码，使用专门 runner，限制网络，记录输入输出，把每次执行都视为不可信。

清单三：检查提示、输出和工具调用

确定性策略网关可以拦截越狱短语、阻止疑似密钥输出、执行退款上限、检查 SQL 形态，并要求高风险操作人工复核。它不需要像模型一样有创造力，只需要执行不可妥协的业务规则。评估 AI 工具时，也要询问是否支持独立身份、不可变审计、代码隔离、管理员硬限制和 prompt injection 测试。更多工具可在 BTTC 软件目录 比较，相关解析可见 BTTC 博客。

FAQ

Google ADK 是必须的吗？

不一定。ADK 是示例框架，但身份、沙箱、网关和审计适用于任何 Agent 框架。

更好的提示词能解决 prompt injection 吗？

不能。提示词能改善行为，但不能替代外部强制控制。

小团队第一步做什么？

先移除 Agent 运行时的宽权限凭据，再为高风险工具调用增加网关和日志。

采购和落地建议

在采购 AI Agent 平台时，不要只看模型名称、插件数量或演示效果。真正重要的是权限能否按工作流拆分，日志是否能证明谁在何时做了什么，失败时能否回滚，管理员策略是否不会被用户提示词覆盖。内部落地时也要从低风险任务开始，例如摘要、分类、草稿和只读查询。只有在签名、沙箱、网关和告警都经过测试后，才逐步开放写入权限。

结论

零信任 AI Agent 已成为生产要求。把 Agent 当作能力强但可能犯错的应用主体：给它窄身份、隔离代码执行、验证工具调用，并保留审计证据。