用 Google ADK 建立零信任 AI Agent：正式環境安全清單

來源: https://developers.googleblog.com/build-zero-trust-ai-agents-with-googles-agent-development-kit/

核心摘要：正式環境 Agent 需要硬性邊界

系統提示詞不是安全邊界，只是給機率模型的指令。Google 的文章主張零信任架構要假設模型可能被誘導，所以把強制控制放在提示詞之外。三個重點是：狀態變更必須有可驗證身份，生成程式碼必須隔離執行，輸入、輸出與工具呼叫必須由確定性閘道檢查。

Agent 安全為何快速升溫

AI Agent 正進入客服、分析流程、內容管線和開發維運。團隊關心如何避免 prompt injection、如何安全執行不可信程式碼、如何審計自主決策。Google 的範例是退款客服 Agent：正常時它計算退款並寫入帳本；攻擊時使用者要求忽略規則、核發過高退款並列印環境變數。如果系統信任模型，攻擊者就等於取得資料庫與執行環境的影響力。

第一層：替每次重要寫入簽章

不要讓所有工作程序共用同一組寬權限資料庫連線。每個 Agent 應以自己的金鑰簽署狀態變更內容，再由 API 或資料庫入口驗證後才提交。這能說明哪個 Agent 建立紀錄、批准的內容是什麼，以及資料後來是否被竄改。金流、帳號權限、內容發布與審核流程特別需要。

第二層：沙箱化生成程式碼

Agent 常會產生小腳本處理計算、檔案解析或資料清理。若用一般伺服器權限執行，就可能洩漏機密或破壞主機。Google 提到 gVisor 類隔離、禁止網路出口、移除能力、限制記憶體與短逾時。小團隊至少應把生成程式碼放進獨立 runner，限制網路與資源，記錄輸入輸出，並假設每次執行都不可信。

第三層：審查提示、輸出與工具呼叫

政策閘道可阻擋越獄語句、疑似密鑰外洩、超額退款、危險 SQL，並對高風險操作要求人工確認。它不必理解所有語意，只要執行硬性規則。選擇 AI 工具時，請確認是否支援工作流獨立身份、不可變稽核、程式隔離、管理員限制與攻擊測試。可在 BTTC 軟體目錄 比較工具，也可閱讀 BTTC 部落格。

FAQ

Google ADK 是必備嗎？

不一定。ADK 是範例框架，但身份、沙箱、閘道和稽核適用於任何 Agent 框架。

更好的提示詞能解決 prompt injection 嗎？

不能。提示詞能改善行為，但不能取代外部強制控制。

小團隊第一步做什麼？

先移除 Agent 執行環境中的寬權限憑證，再為高風險工具呼叫增加閘道和紀錄。

採購與導入建議

選擇 AI Agent 平台時，不要只看模型名稱、外掛數量或示範效果。真正重要的是權限能否依工作流程切分，紀錄是否能證明誰在何時做了什麼，失敗時能否回復，管理員政策是否不會被使用者提示詞覆蓋。內部導入也應先從低風險任務開始，例如摘要、分類、草稿和唯讀查詢。等簽章、沙箱、閘道與告警都通過測試後，再逐步開放寫入權限。

風險分級也很重要

不是每個 Agent 都需要相同控制。唯讀摘要工具可以較快上線，能修改帳戶、付款或公開內容的 Agent 則必須經過更嚴格審查。

結論

零信任 AI Agent 已是正式環境必備能力。把 Agent 視為有權限但可能被誘導的應用主體，縮小身份權限、隔離執行、驗證工具呼叫並保留稽核證據。