用權(quán)限控制：從失控案例到分層防護(hù)實(shí)戰(zhàn))
1. Agent 權(quán)限控制的核心命題為什么工具調(diào)用會(huì)失控1.1 從一次真實(shí)的翻車現(xiàn)場(chǎng)說(shuō)起去年年底我?guī)鸵粋€(gè)團(tuán)隊(duì)做代碼審查他們的 Agent 系統(tǒng)在測(cè)試環(huán)境跑得好好的上線第二天就出了事。事情本身不復(fù)雜一個(gè)負(fù)責(zé)運(yùn)維巡檢的 Agent被要求“檢查磁盤使用率超過(guò)閾值就清理臨時(shí)文件”。結(jié)果這個(gè) Agent 在調(diào)用清理工具時(shí)把參數(shù)里的路徑從/tmp/拼成了/而工具層沒有任何二次校驗(yàn)直接執(zhí)行了刪除操作。萬(wàn)幸的是那臺(tái)機(jī)器是測(cè)試機(jī)數(shù)據(jù)有備份。這件事讓我徹底意識(shí)到一個(gè)問(wèn)題Agent 的能力上限取決于它被允許做什么而不是它能做什么。工具調(diào)用是 Agent 的手和腳權(quán)限控制就是給這雙手腳劃定活動(dòng)范圍。沒有邊界的 Agent本質(zhì)上就是一個(gè)拿著管理員密鑰的實(shí)習(xí)生你永遠(yuǎn)不知道它下一秒會(huì)點(diǎn)哪個(gè)按鈕。這篇文章想聊的就是這件事Agent 的權(quán)限控制到底該怎么做才能既讓工具調(diào)用順暢又不至于失控。我會(huì)從架構(gòu)設(shè)計(jì)、認(rèn)證授權(quán)、工具層校驗(yàn)、運(yùn)行時(shí)監(jiān)控幾個(gè)維度展開把踩過(guò)的坑和驗(yàn)證過(guò)的方案都攤開講。適合正在做 Agent 開發(fā)、準(zhǔn)備把 Agent 推向生產(chǎn)環(huán)境的同學(xué)參考也適合對(duì) AI Agent 安全邊界感興趣的技術(shù)管理者。1.2 工具調(diào)用失控的三種典型形態(tài)在展開方案之前先把“失控”這個(gè)詞拆開看。根據(jù)我接觸過(guò)的案例工具調(diào)用失控基本逃不出三種形態(tài)。第一種是越權(quán)調(diào)用。Agent 調(diào)用了它本不該調(diào)用的工具。比如一個(gè)只負(fù)責(zé)客服問(wèn)答的 Agent理論上只能調(diào)用知識(shí)庫(kù)檢索和工單創(chuàng)建兩個(gè)工具但因?yàn)楣ぞ咦?cè)表沒有做隔離它意外拿到了數(shù)據(jù)庫(kù)刪除工具的調(diào)用權(quán)限。這種情況在 Agent 框架早期很常見很多框架默認(rèn)把所有注冊(cè)的工具都暴露給所有 Agent。第二種是參數(shù)污染。Agent 調(diào)用了正確的工具但傳入了危險(xiǎn)的參數(shù)。上面那個(gè)刪除臨時(shí)文件的例子就是典型。Agent 本身沒有惡意它只是對(duì)自然語(yǔ)言的理解出現(xiàn)了偏差把“清理臨時(shí)文件”理解成了“清理文件”。參數(shù)污染是最難防的一類因?yàn)楣ぞ弑旧硎呛戏ǖ膯?wèn)題出在輸入上。第三種是調(diào)用鏈?zhǔn)Э亍蝹€(gè)工具調(diào)用都沒問(wèn)題但多個(gè)調(diào)用串起來(lái)就出了問(wèn)題。比如 Agent 先調(diào)用“讀取配置文件”拿到數(shù)據(jù)庫(kù)連接串再調(diào)用“執(zhí)行 SQL”把數(shù)據(jù)導(dǎo)出來(lái)最后調(diào)用“發(fā)送郵件”把數(shù)據(jù)發(fā)到外部地址。每一步單獨(dú)看都合規(guī)但組合起來(lái)就是一次數(shù)據(jù)泄露。這種形態(tài)最隱蔽也最考驗(yàn)權(quán)限系統(tǒng)的設(shè)計(jì)深度。理解了這三種形態(tài)后面的方案設(shè)計(jì)就有了靶子。權(quán)限控制不是簡(jiǎn)單地加個(gè)開關(guān)而是要針對(duì)不同形態(tài)分別設(shè)防。2. 權(quán)限模型選型RBAC、ABAC 還是能力令牌2.1 三種主流模型的適用場(chǎng)景對(duì)比給 Agent 做權(quán)限控制繞不開權(quán)限模型的選擇。業(yè)界常用的有三種RBAC基于角色的訪問(wèn)控制、ABAC基于屬性的訪問(wèn)控制、以及能力令牌Capability Token模式。這三種不是互斥的實(shí)際項(xiàng)目中往往是組合使用但理解各自的適用場(chǎng)景很重要。模型核心思想優(yōu)勢(shì)劣勢(shì)適合場(chǎng)景RBAC按角色分配權(quán)限簡(jiǎn)單直觀易管理粒度粗難應(yīng)對(duì)動(dòng)態(tài)場(chǎng)景Agent 數(shù)量少、角色固定的系統(tǒng)ABAC按屬性動(dòng)態(tài)判斷粒度細(xì)靈活規(guī)則復(fù)雜性能開銷大多租戶、動(dòng)態(tài)環(huán)境能力令牌令牌即權(quán)限最小權(quán)限天然隔離令牌管理復(fù)雜高安全要求的工具調(diào)用RBAC 的思路是給 Agent 分配角色角色綁定權(quán)限。比如“客服 Agent”角色只能調(diào)用知識(shí)庫(kù)和工單工具“運(yùn)維 Agent”角色可以調(diào)用監(jiān)控和重啟工具。這種模型的好處是管理簡(jiǎn)單新增一個(gè) Agent 只需要分配角色。壞處是粒度太粗同一個(gè)角色下的所有 Agent 權(quán)限完全一樣沒法做細(xì)粒度區(qū)分。ABAC 的思路是根據(jù)屬性動(dòng)態(tài)判斷。屬性可以包括 Agent 的身份、調(diào)用的工具、傳入的參數(shù)、當(dāng)前時(shí)間、請(qǐng)求來(lái)源 IP 等等。比如規(guī)則可以寫成“只有當(dāng) Agent 屬于運(yùn)維組、調(diào)用的工具是重啟服務(wù)、且目標(biāo)服務(wù)在預(yù)定義白名單內(nèi)時(shí)才允許調(diào)用”。這種模型靈活度極高但規(guī)則一多就難以維護(hù)而且每次調(diào)用都要做規(guī)則匹配性能是個(gè)問(wèn)題。能力令牌的思路是權(quán)限隨令牌走。Agent 在調(diào)用工具前先向授權(quán)中心申請(qǐng)一個(gè)令牌令牌里明確寫了“允許調(diào)用哪個(gè)工具、允許傳什么參數(shù)、有效期多久”。工具層拿到令牌后校驗(yàn)校驗(yàn)通過(guò)才執(zhí)行。這種模型天然符合最小權(quán)限原則因?yàn)榱钆剖桥R時(shí)的、限定范圍的。缺點(diǎn)是令牌的申請(qǐng)和校驗(yàn)增加了調(diào)用鏈路需要額外的基礎(chǔ)設(shè)施支撐。2.2 我的選型建議分層組合實(shí)際項(xiàng)目中我傾向于分層組合用 RBAC 做粗粒度隔離用能力令牌做細(xì)粒度控制ABAC 用在特殊場(chǎng)景的動(dòng)態(tài)判斷上。具體來(lái)說(shuō)第一層用 RBAC 把 Agent 按職能分組每組只能看到自己組內(nèi)的工具注冊(cè)表。這一層解決的是“越權(quán)調(diào)用”問(wèn)題讓客服 Agent 根本看不到數(shù)據(jù)庫(kù)工具的存在。第二層用能力令牌控制單次調(diào)用的參數(shù)范圍Agent 調(diào)用工具前必須申請(qǐng)令牌令牌里限定了參數(shù)的白名單或正則約束。這一層解決的是“參數(shù)污染”問(wèn)題。第三層用 ABAC 處理跨工具的調(diào)用鏈比如檢測(cè)到短時(shí)間內(nèi)連續(xù)調(diào)用“讀取敏感數(shù)據(jù)”和“對(duì)外發(fā)送”兩類工具時(shí)觸發(fā)人工審核或直接阻斷。這一層解決的是“調(diào)用鏈?zhǔn)Э亍眴?wèn)題。這個(gè)分層方案不是拍腦袋想的而是從實(shí)際故障中倒推出來(lái)的。每一層對(duì)應(yīng)一類失控形態(tài)職責(zé)清晰互不干擾。下面幾章我會(huì)把每一層的實(shí)現(xiàn)細(xì)節(jié)展開講。3. 認(rèn)證與授權(quán)把好工具調(diào)用的第一道門3.1 Agent 身份認(rèn)證的三種方式權(quán)限控制的前提是身份認(rèn)證。你得先確認(rèn)“你是誰(shuí)”才能判斷“你能做什么”。Agent 的身份認(rèn)證和傳統(tǒng)用戶認(rèn)證有相似之處但也有特殊性Agent 是程序沒有交互界面認(rèn)證過(guò)程必須自動(dòng)化。目前主流的 Agent 身份認(rèn)證方式有三種。第一種是靜態(tài)密鑰每個(gè) Agent 分配一個(gè) API Key調(diào)用工具時(shí)帶上。這種方式實(shí)現(xiàn)簡(jiǎn)單但密鑰一旦泄露就是災(zāi)難而且密鑰輪換麻煩。第二種是雙向 TLS 證書Agent 和工具服務(wù)各自持有證書通信時(shí)互相驗(yàn)證。這種方式安全性高但證書管理成本大適合內(nèi)部服務(wù)間調(diào)用。第三種是短期令牌Agent 通過(guò)身份憑證向授權(quán)中心換取短期令牌令牌有效期通常幾分鐘到幾小時(shí)。這種方式兼顧了安全性和靈活性是我最推薦的做法。短期令牌的具體流程是這樣的Agent 啟動(dòng)時(shí)用預(yù)置的身份憑證比如一個(gè)長(zhǎng)期有效的簽名密鑰向授權(quán)中心發(fā)起認(rèn)證請(qǐng)求。授權(quán)中心驗(yàn)證憑證后簽發(fā)一個(gè)短期令牌令牌里包含 Agent 的身份標(biāo)識(shí)、可調(diào)用的工具列表、有效期。Agent 后續(xù)調(diào)用工具時(shí)都帶上這個(gè)令牌工具層校驗(yàn)令牌的有效性和權(quán)限范圍。令牌過(guò)期后Agent 重新申請(qǐng)。這個(gè)流程的好處是即使令牌被截獲攻擊窗口也只有幾分鐘。而且授權(quán)中心可以隨時(shí)吊銷令牌實(shí)現(xiàn)即時(shí)權(quán)限回收。3.2 工具側(cè)的授權(quán)校驗(yàn)邏輯認(rèn)證解決了“你是誰(shuí)”授權(quán)解決“你能做什么”。工具側(cè)的授權(quán)校驗(yàn)我建議做成一個(gè)獨(dú)立的中間件所有工具調(diào)用都必須經(jīng)過(guò)它。這個(gè)中間件的校驗(yàn)邏輯分三步。第一步是令牌有效性校驗(yàn)。檢查令牌是否過(guò)期、簽名是否合法、是否在吊銷列表中。這一步是基礎(chǔ)不通過(guò)直接拒絕。第二步是工具權(quán)限校驗(yàn)。檢查令牌里聲明的可調(diào)用工具列表是否包含當(dāng)前被調(diào)用的工具。這一步解決越權(quán)調(diào)用問(wèn)題。這里有個(gè)細(xì)節(jié)工具列表建議用精確匹配不要用通配符。我見過(guò)有團(tuán)隊(duì)為了省事寫成db.*結(jié)果 Agent 能調(diào)用所有數(shù)據(jù)庫(kù)相關(guān)工具包括刪除表的。精確匹配雖然配置麻煩點(diǎn)但安全邊界清晰。第三步是參數(shù)范圍校驗(yàn)。檢查傳入的參數(shù)是否在令牌聲明的范圍內(nèi)。這一步解決參數(shù)污染問(wèn)題。參數(shù)校驗(yàn)的規(guī)則可以靈活設(shè)計(jì)比如路徑參數(shù)必須以某個(gè)前綴開頭、SQL 參數(shù)必須是 SELECT 語(yǔ)句、數(shù)值參數(shù)必須在某個(gè)區(qū)間內(nèi)。校驗(yàn)規(guī)則建議寫在工具的定義里和工具代碼放在一起這樣新增工具時(shí)不容易漏掉。注意參數(shù)校驗(yàn)不要只做字符串匹配要考慮編碼繞過(guò)。比如路徑參數(shù)../../etc/passwd這種單純匹配前綴是攔不住的需要做路徑規(guī)范化后再校驗(yàn)。3.3 授權(quán)管理的工程實(shí)踐授權(quán)管理本身也是個(gè)工程問(wèn)題。我見過(guò)不少團(tuán)隊(duì)權(quán)限配置散落在各個(gè)工具代碼里改一個(gè)權(quán)限要翻十幾個(gè)文件最后沒人敢改權(quán)限就越積越大。我的做法是把權(quán)限配置集中管理。建一個(gè)獨(dú)立的權(quán)限配置文件或權(quán)限服務(wù)所有工具的可調(diào)用角色、參數(shù)約束、調(diào)用頻率限制都寫在這里。工具代碼啟動(dòng)時(shí)從權(quán)限服務(wù)拉取配置運(yùn)行時(shí)按配置校驗(yàn)。這樣改權(quán)限只需要改一處而且可以做版本管理和審計(jì)。權(quán)限配置的格式我推薦用結(jié)構(gòu)化數(shù)據(jù)比如 YAML 或 JSON。下面是一個(gè)示例展示了一個(gè)數(shù)據(jù)庫(kù)查詢工具的權(quán)限配置tool: db_query allowed_roles: - data_analyst - ops_engineer param_constraints: sql: type: string pattern: ^SELECT\\s.*$ max_length: 2000 timeout: type: integer min: 1 max: 30 rate_limit: max_calls_per_minute: 10 max_calls_per_hour: 100這個(gè)配置里allowed_roles限定了哪些角色可以調(diào)用param_constraints限定了 SQL 必須以 SELECT 開頭且長(zhǎng)度不超過(guò) 2000rate_limit限定了調(diào)用頻率。工具層拿到這個(gè)配置后逐項(xiàng)校驗(yàn)即可。集中管理還有個(gè)好處是方便做審計(jì)。所有權(quán)限變更都有記錄出了問(wèn)題可以追溯。我建議權(quán)限配置的每次修改都走代碼審查流程不要允許直接在生產(chǎn)環(huán)境改配置。4. 工具層防護(hù)在離危險(xiǎn)最近的地方設(shè)卡4.1 工具注冊(cè)表的隔離設(shè)計(jì)工具注冊(cè)表是 Agent 獲取可用工具列表的地方。很多 Agent 框架默認(rèn)把所有注冊(cè)的工具暴露給所有 Agent這是越權(quán)調(diào)用的根源。正確的做法是按 Agent 身份隔離工具注冊(cè)表。具體實(shí)現(xiàn)上工具注冊(cè)表應(yīng)該支持按角色或按 Agent ID 過(guò)濾。Agent 啟動(dòng)時(shí)帶著自己的身份憑證向注冊(cè)表請(qǐng)求工具列表注冊(cè)表根據(jù)身份返回對(duì)應(yīng)的工具子集。這樣客服 Agent 拿到的列表里根本沒有數(shù)據(jù)庫(kù)工具它連調(diào)用的機(jī)會(huì)都沒有。這里有個(gè)容易忽略的點(diǎn)工具列表的過(guò)濾要在服務(wù)端做不能在客戶端做。我見過(guò)有團(tuán)隊(duì)在 Agent 端過(guò)濾結(jié)果 Agent 被篡改后直接請(qǐng)求全量列表過(guò)濾形同虛設(shè)。服務(wù)端過(guò)濾才是可靠的。另外工具注冊(cè)表本身也要做認(rèn)證。不是誰(shuí)都能請(qǐng)求工具列表的必須持有有效的身份憑證。這一步和上一章的認(rèn)證機(jī)制打通形成閉環(huán)。4.2 參數(shù)校驗(yàn)的實(shí)戰(zhàn)技巧參數(shù)校驗(yàn)是防參數(shù)污染的核心。前面說(shuō)了要在工具定義里寫校驗(yàn)規(guī)則這里展開講幾個(gè)實(shí)戰(zhàn)技巧。路徑參數(shù)一定要做規(guī)范化。用戶傳入的路徑可能是相對(duì)路徑、可能包含..、可能是符號(hào)鏈接。校驗(yàn)前先用realpath之類的函數(shù)規(guī)范化再檢查是否在允許的目錄下。我一般會(huì)要求路徑必須以某個(gè)絕對(duì)路徑開頭且規(guī)范化后不能跳出這個(gè)前綴。SQL 參數(shù)建議用白名單而非黑名單。黑名單比如禁止 DELETE、DROP很容易被繞過(guò)比如用注釋、大小寫混寫、編碼等方式。白名單只允許 SELECT更可靠。如果業(yè)務(wù)確實(shí)需要寫操作建議拆成獨(dú)立的工具單獨(dú)授權(quán)。數(shù)值參數(shù)要檢查邊界。我見過(guò)一個(gè) Agent 調(diào)用“設(shè)置超時(shí)時(shí)間”工具時(shí)傳了999999999導(dǎo)致服務(wù)線程被長(zhǎng)時(shí)間占用。數(shù)值參數(shù)一定要設(shè)上下界超出范圍直接拒絕。字符串參數(shù)要限制長(zhǎng)度。超長(zhǎng)字符串可能導(dǎo)致緩沖區(qū)溢出或性能問(wèn)題。一般建議限制在合理范圍內(nèi)比如 2000 字符。枚舉參數(shù)要嚴(yán)格匹配。如果參數(shù)是枚舉類型校驗(yàn)時(shí)必須精確匹配不要做模糊匹配。比如action參數(shù)只允許start、stop、restart那就不能接受Start或start帶空格。這些技巧看起來(lái)瑣碎但每一條都是從實(shí)際故障中總結(jié)出來(lái)的。參數(shù)校驗(yàn)做扎實(shí)了能擋掉大部分參數(shù)污染問(wèn)題。4.3 調(diào)用頻率與并發(fā)控制除了單次調(diào)用的校驗(yàn)還要控制調(diào)用的頻率和并發(fā)。Agent 有可能因?yàn)檫壿嬪e(cuò)誤陷入循環(huán)短時(shí)間內(nèi)發(fā)起大量調(diào)用把下游服務(wù)打掛。頻率控制我建議做兩級(jí)單 Agent 級(jí)和工具級(jí)。單 Agent 級(jí)限制每個(gè) Agent 每分鐘、每小時(shí)的調(diào)用總數(shù)防止單個(gè) Agent 失控。工具級(jí)限制每個(gè)工具被調(diào)用的總頻率防止所有 Agent 一起把某個(gè)工具打掛。并發(fā)控制則是限制同時(shí)進(jìn)行的調(diào)用數(shù)。比如數(shù)據(jù)庫(kù)查詢工具同時(shí)最多允許 5 個(gè)并發(fā)調(diào)用超出的排隊(duì)等待。這樣可以避免 Agent 并發(fā)調(diào)用把數(shù)據(jù)庫(kù)連接池耗盡。實(shí)現(xiàn)上頻率控制可以用令牌桶算法并發(fā)控制可以用信號(hào)量。這些在工具層的中間件里實(shí)現(xiàn)即可不需要 Agent 端配合。提示頻率限制的閾值不要設(shè)得太死要留出合理的突發(fā)空間。我一般會(huì)設(shè)一個(gè)基礎(chǔ)速率加一個(gè)突發(fā)上限比如基礎(chǔ) 10 次/分鐘突發(fā)上限 30 次。這樣正常業(yè)務(wù)不受影響異常情況也能兜住。5. 運(yùn)行時(shí)監(jiān)控讓失控在發(fā)生前被攔截5.1 調(diào)用鏈追蹤與異常檢測(cè)前面幾層都是事前的防護(hù)運(yùn)行時(shí)監(jiān)控是事中攔截。Agent 的調(diào)用行為是動(dòng)態(tài)的靜態(tài)規(guī)則不可能覆蓋所有情況需要運(yùn)行時(shí)監(jiān)控來(lái)兜底。調(diào)用鏈追蹤是基礎(chǔ)。每次工具調(diào)用都要記錄誰(shuí)調(diào)的、調(diào)了什么、傳了什么參數(shù)、返回了什么、耗時(shí)多久。這些記錄匯總起來(lái)就能看出 Agent 的行為模式。正常模式下Agent 的調(diào)用是有規(guī)律的比如客服 Agent 大部分時(shí)間在調(diào)知識(shí)庫(kù)檢索。如果突然開始調(diào)工單刪除工具那就是異常。異常檢測(cè)可以基于規(guī)則也可以基于統(tǒng)計(jì)。基于規(guī)則的比如“短時(shí)間內(nèi)連續(xù)調(diào)用敏感工具超過(guò) N 次”基于統(tǒng)計(jì)的比如“當(dāng)前調(diào)用頻率偏離歷史均值超過(guò) 3 個(gè)標(biāo)準(zhǔn)差”。我建議先用規(guī)則規(guī)則覆蓋不了的再用統(tǒng)計(jì)。規(guī)則的好處是解釋性強(qiáng)出了問(wèn)題知道為什么被攔。5.2 敏感操作的二次確認(rèn)機(jī)制有些操作風(fēng)險(xiǎn)太高即使權(quán)限校驗(yàn)通過(guò)了也建議加一道二次確認(rèn)。比如刪除數(shù)據(jù)、修改配置、對(duì)外發(fā)送數(shù)據(jù)這類操作。二次確認(rèn)的實(shí)現(xiàn)方式有兩種。一種是同步確認(rèn)Agent 發(fā)起調(diào)用后系統(tǒng)暫停執(zhí)行通知人工審核審核通過(guò)才繼續(xù)。這種方式安全但慢適合低頻高風(fēng)險(xiǎn)的場(chǎng)景。另一種是異步確認(rèn)Agent 發(fā)起調(diào)用后立即返回“待審核”實(shí)際執(zhí)行在審核通過(guò)后進(jìn)行。這種方式不阻塞 Agent但需要 Agent 能處理異步結(jié)果。我一般建議對(duì)“刪除”和“對(duì)外發(fā)送”兩類操作強(qiáng)制二次確認(rèn)。刪除操作不可逆對(duì)外發(fā)送可能導(dǎo)致數(shù)據(jù)泄露這兩類值得多花點(diǎn)時(shí)間確認(rèn)。二次確認(rèn)的通知渠道可以靈活選擇郵件、即時(shí)通訊工具、工單系統(tǒng)都行。關(guān)鍵是確認(rèn)人要能看到完整的調(diào)用上下文誰(shuí)調(diào)的、調(diào)什么、參數(shù)是什么、為什么觸發(fā)確認(rèn)。信息不全的確認(rèn)請(qǐng)求審核人只能盲批失去了確認(rèn)的意義。5.3 熔斷與降級(jí)策略當(dāng)監(jiān)控發(fā)現(xiàn)異常時(shí)系統(tǒng)需要有自動(dòng)處置能力。熔斷和降級(jí)是兩個(gè)常用手段。熔斷是指當(dāng)某個(gè) Agent 或某個(gè)工具的異常率達(dá)到閾值時(shí)自動(dòng)切斷其調(diào)用。比如某個(gè) Agent 連續(xù) 5 次調(diào)用失敗就暫時(shí)禁止它調(diào)用任何工具等人工介入排查。熔斷的好處是防止異常擴(kuò)散避免一個(gè) Agent 的問(wèn)題拖垮整個(gè)系統(tǒng)。降級(jí)是指當(dāng)系統(tǒng)壓力過(guò)大時(shí)主動(dòng)關(guān)閉非核心功能保住核心功能。比如當(dāng)工具調(diào)用隊(duì)列積壓超過(guò)閾值時(shí)暫停所有非關(guān)鍵工具的調(diào)用只保留核心工具。降級(jí)的好處是保證系統(tǒng)在極端情況下仍能提供基本服務(wù)。熔斷和降級(jí)的閾值需要根據(jù)實(shí)際業(yè)務(wù)調(diào)整。我建議先設(shè)一個(gè)保守的閾值觀察一段時(shí)間后再優(yōu)化。閾值太松起不到保護(hù)作用太緊會(huì)誤傷正常業(yè)務(wù)。6. 常見問(wèn)題與排查技巧實(shí)錄6.1 權(quán)限配置的常見坑做 Agent 權(quán)限控制這些年踩過(guò)的坑不少挑幾個(gè)典型的說(shuō)說(shuō)?？右粰?quán)限繼承導(dǎo)致的越權(quán)。有些系統(tǒng)支持角色繼承比如“高級(jí)客服”繼承“客服”的所有權(quán)限。這本身沒問(wèn)題但如果繼承鏈沒管好可能出現(xiàn)“高級(jí)客服”意外繼承了“管理員”的權(quán)限。我的建議是繼承鏈不要超過(guò)兩層且每次新增繼承關(guān)系都要審查。坑二默認(rèn)權(quán)限過(guò)大。很多框架的默認(rèn)權(quán)限是“允許所有”新增工具時(shí)如果不顯式配置權(quán)限就默認(rèn)對(duì)所有 Agent 開放。這是很危險(xiǎn)的。我的做法是把默認(rèn)權(quán)限設(shè)為“拒絕所有”新增工具必須顯式配置允許哪些角色調(diào)用。這樣雖然麻煩點(diǎn)但安全?？尤龣?quán)限回收不及時(shí)。Agent 下線了但它的權(quán)限沒回收令牌還在有效期內(nèi)。如果令牌被截獲就能繼續(xù)調(diào)用。我的做法是 Agent 下線時(shí)主動(dòng)吊銷其所有令牌且令牌有效期設(shè)短一點(diǎn)比如 15 分鐘?？铀臏y(cè)試環(huán)境權(quán)限和生產(chǎn)環(huán)境混用。測(cè)試環(huán)境的 Agent 權(quán)限往往配得很松方便調(diào)試。如果測(cè)試環(huán)境的憑證泄露攻擊者可能用它去調(diào)生產(chǎn)環(huán)境的工具。我的做法是測(cè)試環(huán)境和生產(chǎn)環(huán)境的授權(quán)中心完全隔離憑證不通用。6.2 排查工具調(diào)用問(wèn)題的思路當(dāng)工具調(diào)用出問(wèn)題時(shí)怎么快速定位我一般按這個(gè)順序排查。第一步看調(diào)用日志。日志里應(yīng)該有完整的調(diào)用記錄時(shí)間、Agent ID、工具名、參數(shù)、返回值、耗時(shí)。先確認(rèn)調(diào)用是否真的發(fā)生了參數(shù)是什么。第二步看權(quán)限校驗(yàn)日志。如果調(diào)用被拒絕了權(quán)限校驗(yàn)日志里會(huì)有原因是令牌過(guò)期、還是工具不在允許列表、還是參數(shù)校驗(yàn)失敗。根據(jù)原因定位問(wèn)題。第三步看 Agent 的決策日志。如果調(diào)用發(fā)生了但結(jié)果不對(duì)可能是 Agent 的決策有問(wèn)題。看 Agent 為什么選擇這個(gè)工具、為什么傳這個(gè)參數(shù)。這一步往往能發(fā)現(xiàn) Agent 的邏輯缺陷。第四步看下游服務(wù)日志。如果工具執(zhí)行了但結(jié)果異常可能是下游服務(wù)的問(wèn)題?？聪掠畏?wù)收到了什么請(qǐng)求、處理結(jié)果如何。這個(gè)排查順序從外到內(nèi)逐步縮小范圍。大部分問(wèn)題在前兩步就能定位。6.3 常見問(wèn)題速查表問(wèn)題現(xiàn)象可能原因排查方向解決方案調(diào)用被拒絕提示無(wú)權(quán)限令牌不含該工具權(quán)限檢查令牌的工具列表調(diào)整角色權(quán)限配置調(diào)用被拒絕提示參數(shù)非法參數(shù)校驗(yàn)不通過(guò)檢查參數(shù)校驗(yàn)規(guī)則和實(shí)際參數(shù)修正 Agent 傳參或放寬規(guī)則調(diào)用成功但結(jié)果異常Agent 決策錯(cuò)誤或下游問(wèn)題檢查 Agent 決策日志和下游日志修正 Agent 邏輯或下游服務(wù)調(diào)用頻率超限Agent 陷入循環(huán)或業(yè)務(wù)量突增檢查調(diào)用頻率和 Agent 狀態(tài)修復(fù) Agent 循環(huán)或調(diào)整頻率閾值令牌申請(qǐng)失敗身份憑證無(wú)效或授權(quán)中心故障檢查憑證和授權(quán)中心狀態(tài)更新憑證或修復(fù)授權(quán)中心調(diào)用鏈異常中斷熔斷觸發(fā)或網(wǎng)絡(luò)問(wèn)題檢查熔斷日志和網(wǎng)絡(luò)狀態(tài)排查熔斷原因或修復(fù)網(wǎng)絡(luò)這張表覆蓋了我遇到的大部分問(wèn)題。實(shí)際排查時(shí)先對(duì)照現(xiàn)象找到可能原因再按排查方向逐步確認(rèn)。6.4 幾個(gè)獨(dú)家避坑技巧最后分享幾個(gè)不太常見但很實(shí)用的技巧。技巧一給工具調(diào)用加 trace ID。每次 Agent 發(fā)起調(diào)用時(shí)生成一個(gè)唯一 ID貫穿整個(gè)調(diào)用鏈。這樣排查問(wèn)題時(shí)一個(gè) ID 就能串起所有相關(guān)日志不用在多個(gè)日志文件里翻找。技巧二定期做權(quán)限審計(jì)。每隔一段時(shí)間導(dǎo)出所有 Agent 的權(quán)限配置人工審查一遍?？纯从袥]有權(quán)限過(guò)大的、有沒有長(zhǎng)期不用的、有沒有配置錯(cuò)誤的。我一般一個(gè)季度做一次每次都能發(fā)現(xiàn)幾個(gè)問(wèn)題。技巧三用影子模式測(cè)試新權(quán)限。新增或修改權(quán)限配置時(shí)先開影子模式讓新配置只記錄不生效。觀察一段時(shí)間確認(rèn)新配置不會(huì)誤傷正常業(yè)務(wù)后再正式生效。這樣避免配置錯(cuò)誤導(dǎo)致業(yè)務(wù)中斷。技巧四給 Agent 的行為做基線。記錄每個(gè) Agent 的正常行為模式比如常用工具、調(diào)用頻率、參數(shù)分布。當(dāng)實(shí)際行為偏離基線時(shí)告警。這個(gè)基線不需要很精確粗略的統(tǒng)計(jì)就能發(fā)現(xiàn)大部分異常。技巧五保留人工介入的通道。無(wú)論權(quán)限控制做得多完善都要保留人工介入的通道。當(dāng)系統(tǒng)判斷不了時(shí)能轉(zhuǎn)人工當(dāng)系統(tǒng)誤判時(shí)能人工放行。完全自動(dòng)化的權(quán)限控制在遇到新情況時(shí)往往束手無(wú)策。這些技巧都是實(shí)際項(xiàng)目中驗(yàn)證過(guò)的不是什么高深技術(shù)但很實(shí)用。權(quán)限控制這件事細(xì)節(jié)決定成敗把這些細(xì)節(jié)做到位Agent 的工具調(diào)用就能既順暢又安全。我在實(shí)際使用中發(fā)現(xiàn)權(quán)限控制最難的不是技術(shù)實(shí)現(xiàn)而是平衡。控制太松Agent 容易失控控制太緊Agent 又干不了活。這個(gè)平衡點(diǎn)需要根據(jù)業(yè)務(wù)場(chǎng)景反復(fù)調(diào)整。我的經(jīng)驗(yàn)是先從緊的開始遇到阻礙再逐步放寬比一開始就放松要安全得多。畢竟權(quán)限這東西收緊容易放寬難一開始就收緊后面調(diào)整的空間更大。 Agent工具調(diào)用權(quán)限控制：從失控案例到分層防護(hù)實(shí)戰(zhàn)
1. Agent 權(quán)限控制的核心命題為什么工具調(diào)用會(huì)失控1.1 從一次真實(shí)的翻車現(xiàn)場(chǎng)說(shuō)起去年年底我?guī)鸵粋€(gè)團(tuán)隊(duì)做代碼審查他們的 Agent 系統(tǒng)在測(cè)試環(huán)境跑得好好的上線第二天就出了事。事情本身不復(fù)雜一個(gè)負(fù)責(zé)運(yùn)維巡檢的 Agent被要求“檢查磁盤使用率超過(guò)閾值就清理臨時(shí)文件”。結(jié)果這個(gè) Agent 在調(diào)用清理工具時(shí)把參數(shù)里的路徑從/tmp/拼成了/而工具層沒有任何二次校驗(yàn)直接執(zhí)行了刪除操作。萬(wàn)幸的是那臺(tái)機(jī)器是測(cè)試機(jī)數(shù)據(jù)有備份。這件事讓我徹底意識(shí)到一個(gè)問(wèn)題Agent 的能力上限取決于它被允許做什么而不是它能做什么。工具調(diào)用是 Agent 的手和腳權(quán)限控制就是給這雙手腳劃定活動(dòng)范圍。沒有邊界的 Agent本質(zhì)上就是一個(gè)拿著管理員密鑰的實(shí)習(xí)生你永遠(yuǎn)不知道它下一秒會(huì)點(diǎn)哪個(gè)按鈕。這篇文章想聊的就是這件事Agent 的權(quán)限控制到底該怎么做才能既讓工具調(diào)用順暢又不至于失控。我會(huì)從架構(gòu)設(shè)計(jì)、認(rèn)證授權(quán)、工具層校驗(yàn)、運(yùn)行時(shí)監(jiān)控幾個(gè)維度展開把踩過(guò)的坑和驗(yàn)證過(guò)的方案都攤開講。適合正在做 Agent 開發(fā)、準(zhǔn)備把 Agent 推向生產(chǎn)環(huán)境的同學(xué)參考也適合對(duì) AI Agent 安全邊界感興趣的技術(shù)管理者。1.2 工具調(diào)用失控的三種典型形態(tài)在展開方案之前先把“失控”這個(gè)詞拆開看。根據(jù)我接觸過(guò)的案例工具調(diào)用失控基本逃不出三種形態(tài)。第一種是越權(quán)調(diào)用。Agent 調(diào)用了它本不該調(diào)用的工具。比如一個(gè)只負(fù)責(zé)客服問(wèn)答的 Agent理論上只能調(diào)用知識(shí)庫(kù)檢索和工單創(chuàng)建兩個(gè)工具但因?yàn)楣ぞ咦?cè)表沒有做隔離它意外拿到了數(shù)據(jù)庫(kù)刪除工具的調(diào)用權(quán)限。這種情況在 Agent 框架早期很常見很多框架默認(rèn)把所有注冊(cè)的工具都暴露給所有 Agent。第二種是參數(shù)污染。Agent 調(diào)用了正確的工具但傳入了危險(xiǎn)的參數(shù)。上面那個(gè)刪除臨時(shí)文件的例子就是典型。Agent 本身沒有惡意它只是對(duì)自然語(yǔ)言的理解出現(xiàn)了偏差把“清理臨時(shí)文件”理解成了“清理文件”。參數(shù)污染是最難防的一類因?yàn)楣ぞ弑旧硎呛戏ǖ膯?wèn)題出在輸入上。第三種是調(diào)用鏈?zhǔn)Э亍蝹€(gè)工具調(diào)用都沒問(wèn)題但多個(gè)調(diào)用串起來(lái)就出了問(wèn)題。比如 Agent 先調(diào)用“讀取配置文件”拿到數(shù)據(jù)庫(kù)連接串再調(diào)用“執(zhí)行 SQL”把數(shù)據(jù)導(dǎo)出來(lái)最后調(diào)用“發(fā)送郵件”把數(shù)據(jù)發(fā)到外部地址。每一步單獨(dú)看都合規(guī)但組合起來(lái)就是一次數(shù)據(jù)泄露。這種形態(tài)最隱蔽也最考驗(yàn)權(quán)限系統(tǒng)的設(shè)計(jì)深度。理解了這三種形態(tài)后面的方案設(shè)計(jì)就有了靶子。權(quán)限控制不是簡(jiǎn)單地加個(gè)開關(guān)而是要針對(duì)不同形態(tài)分別設(shè)防。2. 權(quán)限模型選型RBAC、ABAC 還是能力令牌2.1 三種主流模型的適用場(chǎng)景對(duì)比給 Agent 做權(quán)限控制繞不開權(quán)限模型的選擇。業(yè)界常用的有三種RBAC基于角色的訪問(wèn)控制、ABAC基于屬性的訪問(wèn)控制、以及能力令牌Capability Token模式。這三種不是互斥的實(shí)際項(xiàng)目中往往是組合使用但理解各自的適用場(chǎng)景很重要。模型核心思想優(yōu)勢(shì)劣勢(shì)適合場(chǎng)景RBAC按角色分配權(quán)限簡(jiǎn)單直觀易管理粒度粗難應(yīng)對(duì)動(dòng)態(tài)場(chǎng)景Agent 數(shù)量少、角色固定的系統(tǒng)ABAC按屬性動(dòng)態(tài)判斷粒度細(xì)靈活規(guī)則復(fù)雜性能開銷大多租戶、動(dòng)態(tài)環(huán)境能力令牌令牌即權(quán)限最小權(quán)限天然隔離令牌管理復(fù)雜高安全要求的工具調(diào)用RBAC 的思路是給 Agent 分配角色角色綁定權(quán)限。比如“客服 Agent”角色只能調(diào)用知識(shí)庫(kù)和工單工具“運(yùn)維 Agent”角色可以調(diào)用監(jiān)控和重啟工具。這種模型的好處是管理簡(jiǎn)單新增一個(gè) Agent 只需要分配角色。壞處是粒度太粗同一個(gè)角色下的所有 Agent 權(quán)限完全一樣沒法做細(xì)粒度區(qū)分。ABAC 的思路是根據(jù)屬性動(dòng)態(tài)判斷。屬性可以包括 Agent 的身份、調(diào)用的工具、傳入的參數(shù)、當(dāng)前時(shí)間、請(qǐng)求來(lái)源 IP 等等。比如規(guī)則可以寫成“只有當(dāng) Agent 屬于運(yùn)維組、調(diào)用的工具是重啟服務(wù)、且目標(biāo)服務(wù)在預(yù)定義白名單內(nèi)時(shí)才允許調(diào)用”。這種模型靈活度極高但規(guī)則一多就難以維護(hù)而且每次調(diào)用都要做規(guī)則匹配性能是個(gè)問(wèn)題。能力令牌的思路是權(quán)限隨令牌走。Agent 在調(diào)用工具前先向授權(quán)中心申請(qǐng)一個(gè)令牌令牌里明確寫了“允許調(diào)用哪個(gè)工具、允許傳什么參數(shù)、有效期多久”。工具層拿到令牌后校驗(yàn)校驗(yàn)通過(guò)才執(zhí)行。這種模型天然符合最小權(quán)限原則因?yàn)榱钆剖桥R時(shí)的、限定范圍的。缺點(diǎn)是令牌的申請(qǐng)和校驗(yàn)增加了調(diào)用鏈路需要額外的基礎(chǔ)設(shè)施支撐。2.2 我的選型建議分層組合實(shí)際項(xiàng)目中我傾向于分層組合用 RBAC 做粗粒度隔離用能力令牌做細(xì)粒度控制ABAC 用在特殊場(chǎng)景的動(dòng)態(tài)判斷上。具體來(lái)說(shuō)第一層用 RBAC 把 Agent 按職能分組每組只能看到自己組內(nèi)的工具注冊(cè)表。這一層解決的是“越權(quán)調(diào)用”問(wèn)題讓客服 Agent 根本看不到數(shù)據(jù)庫(kù)工具的存在。第二層用能力令牌控制單次調(diào)用的參數(shù)范圍Agent 調(diào)用工具前必須申請(qǐng)令牌令牌里限定了參數(shù)的白名單或正則約束。這一層解決的是“參數(shù)污染”問(wèn)題。第三層用 ABAC 處理跨工具的調(diào)用鏈比如檢測(cè)到短時(shí)間內(nèi)連續(xù)調(diào)用“讀取敏感數(shù)據(jù)”和“對(duì)外發(fā)送”兩類工具時(shí)觸發(fā)人工審核或直接阻斷。這一層解決的是“調(diào)用鏈?zhǔn)Э亍眴?wèn)題。這個(gè)分層方案不是拍腦袋想的而是從實(shí)際故障中倒推出來(lái)的。每一層對(duì)應(yīng)一類失控形態(tài)職責(zé)清晰互不干擾。下面幾章我會(huì)把每一層的實(shí)現(xiàn)細(xì)節(jié)展開講。3. 認(rèn)證與授權(quán)把好工具調(diào)用的第一道門3.1 Agent 身份認(rèn)證的三種方式權(quán)限控制的前提是身份認(rèn)證。你得先確認(rèn)“你是誰(shuí)”才能判斷“你能做什么”。Agent 的身份認(rèn)證和傳統(tǒng)用戶認(rèn)證有相似之處但也有特殊性Agent 是程序沒有交互界面認(rèn)證過(guò)程必須自動(dòng)化。目前主流的 Agent 身份認(rèn)證方式有三種。第一種是靜態(tài)密鑰每個(gè) Agent 分配一個(gè) API Key調(diào)用工具時(shí)帶上。這種方式實(shí)現(xiàn)簡(jiǎn)單但密鑰一旦泄露就是災(zāi)難而且密鑰輪換麻煩。第二種是雙向 TLS 證書Agent 和工具服務(wù)各自持有證書通信時(shí)互相驗(yàn)證。這種方式安全性高但證書管理成本大適合內(nèi)部服務(wù)間調(diào)用。第三種是短期令牌Agent 通過(guò)身份憑證向授權(quán)中心換取短期令牌令牌有效期通常幾分鐘到幾小時(shí)。這種方式兼顧了安全性和靈活性是我最推薦的做法。短期令牌的具體流程是這樣的Agent 啟動(dòng)時(shí)用預(yù)置的身份憑證比如一個(gè)長(zhǎng)期有效的簽名密鑰向授權(quán)中心發(fā)起認(rèn)證請(qǐng)求。授權(quán)中心驗(yàn)證憑證后簽發(fā)一個(gè)短期令牌令牌里包含 Agent 的身份標(biāo)識(shí)、可調(diào)用的工具列表、有效期。Agent 后續(xù)調(diào)用工具時(shí)都帶上這個(gè)令牌工具層校驗(yàn)令牌的有效性和權(quán)限范圍。令牌過(guò)期后Agent 重新申請(qǐng)。這個(gè)流程的好處是即使令牌被截獲攻擊窗口也只有幾分鐘。而且授權(quán)中心可以隨時(shí)吊銷令牌實(shí)現(xiàn)即時(shí)權(quán)限回收。3.2 工具側(cè)的授權(quán)校驗(yàn)邏輯認(rèn)證解決了“你是誰(shuí)”授權(quán)解決“你能做什么”。工具側(cè)的授權(quán)校驗(yàn)我建議做成一個(gè)獨(dú)立的中間件所有工具調(diào)用都必須經(jīng)過(guò)它。這個(gè)中間件的校驗(yàn)邏輯分三步。第一步是令牌有效性校驗(yàn)。檢查令牌是否過(guò)期、簽名是否合法、是否在吊銷列表中。這一步是基礎(chǔ)不通過(guò)直接拒絕。第二步是工具權(quán)限校驗(yàn)。檢查令牌里聲明的可調(diào)用工具列表是否包含當(dāng)前被調(diào)用的工具。這一步解決越權(quán)調(diào)用問(wèn)題。這里有個(gè)細(xì)節(jié)工具列表建議用精確匹配不要用通配符。我見過(guò)有團(tuán)隊(duì)為了省事寫成db.*結(jié)果 Agent 能調(diào)用所有數(shù)據(jù)庫(kù)相關(guān)工具包括刪除表的。精確匹配雖然配置麻煩點(diǎn)但安全邊界清晰。第三步是參數(shù)范圍校驗(yàn)。檢查傳入的參數(shù)是否在令牌聲明的范圍內(nèi)。這一步解決參數(shù)污染問(wèn)題。參數(shù)校驗(yàn)的規(guī)則可以靈活設(shè)計(jì)比如路徑參數(shù)必須以某個(gè)前綴開頭、SQL 參數(shù)必須是 SELECT 語(yǔ)句、數(shù)值參數(shù)必須在某個(gè)區(qū)間內(nèi)。校驗(yàn)規(guī)則建議寫在工具的定義里和工具代碼放在一起這樣新增工具時(shí)不容易漏掉。注意參數(shù)校驗(yàn)不要只做字符串匹配要考慮編碼繞過(guò)。比如路徑參數(shù)../../etc/passwd這種單純匹配前綴是攔不住的需要做路徑規(guī)范化后再校驗(yàn)。3.3 授權(quán)管理的工程實(shí)踐授權(quán)管理本身也是個(gè)工程問(wèn)題。我見過(guò)不少團(tuán)隊(duì)權(quán)限配置散落在各個(gè)工具代碼里改一個(gè)權(quán)限要翻十幾個(gè)文件最后沒人敢改權(quán)限就越積越大。我的做法是把權(quán)限配置集中管理。建一個(gè)獨(dú)立的權(quán)限配置文件或權(quán)限服務(wù)所有工具的可調(diào)用角色、參數(shù)約束、調(diào)用頻率限制都寫在這里。工具代碼啟動(dòng)時(shí)從權(quán)限服務(wù)拉取配置運(yùn)行時(shí)按配置校驗(yàn)。這樣改權(quán)限只需要改一處而且可以做版本管理和審計(jì)。權(quán)限配置的格式我推薦用結(jié)構(gòu)化數(shù)據(jù)比如 YAML 或 JSON。下面是一個(gè)示例展示了一個(gè)數(shù)據(jù)庫(kù)查詢工具的權(quán)限配置tool: db_query allowed_roles: - data_analyst - ops_engineer param_constraints: sql: type: string pattern: ^SELECT\\s.*$ max_length: 2000 timeout: type: integer min: 1 max: 30 rate_limit: max_calls_per_minute: 10 max_calls_per_hour: 100這個(gè)配置里allowed_roles限定了哪些角色可以調(diào)用param_constraints限定了 SQL 必須以 SELECT 開頭且長(zhǎng)度不超過(guò) 2000rate_limit限定了調(diào)用頻率。工具層拿到這個(gè)配置后逐項(xiàng)校驗(yàn)即可。集中管理還有個(gè)好處是方便做審計(jì)。所有權(quán)限變更都有記錄出了問(wèn)題可以追溯。我建議權(quán)限配置的每次修改都走代碼審查流程不要允許直接在生產(chǎn)環(huán)境改配置。4. 工具層防護(hù)在離危險(xiǎn)最近的地方設(shè)卡4.1 工具注冊(cè)表的隔離設(shè)計(jì)工具注冊(cè)表是 Agent 獲取可用工具列表的地方。很多 Agent 框架默認(rèn)把所有注冊(cè)的工具暴露給所有 Agent這是越權(quán)調(diào)用的根源。正確的做法是按 Agent 身份隔離工具注冊(cè)表。具體實(shí)現(xiàn)上工具注冊(cè)表應(yīng)該支持按角色或按 Agent ID 過(guò)濾。Agent 啟動(dòng)時(shí)帶著自己的身份憑證向注冊(cè)表請(qǐng)求工具列表注冊(cè)表根據(jù)身份返回對(duì)應(yīng)的工具子集。這樣客服 Agent 拿到的列表里根本沒有數(shù)據(jù)庫(kù)工具它連調(diào)用的機(jī)會(huì)都沒有。這里有個(gè)容易忽略的點(diǎn)工具列表的過(guò)濾要在服務(wù)端做不能在客戶端做。我見過(guò)有團(tuán)隊(duì)在 Agent 端過(guò)濾結(jié)果 Agent 被篡改后直接請(qǐng)求全量列表過(guò)濾形同虛設(shè)。服務(wù)端過(guò)濾才是可靠的。另外工具注冊(cè)表本身也要做認(rèn)證。不是誰(shuí)都能請(qǐng)求工具列表的必須持有有效的身份憑證。這一步和上一章的認(rèn)證機(jī)制打通形成閉環(huán)。4.2 參數(shù)校驗(yàn)的實(shí)戰(zhàn)技巧參數(shù)校驗(yàn)是防參數(shù)污染的核心。前面說(shuō)了要在工具定義里寫校驗(yàn)規(guī)則這里展開講幾個(gè)實(shí)戰(zhàn)技巧。路徑參數(shù)一定要做規(guī)范化。用戶傳入的路徑可能是相對(duì)路徑、可能包含..、可能是符號(hào)鏈接。校驗(yàn)前先用realpath之類的函數(shù)規(guī)范化再檢查是否在允許的目錄下。我一般會(huì)要求路徑必須以某個(gè)絕對(duì)路徑開頭且規(guī)范化后不能跳出這個(gè)前綴。SQL 參數(shù)建議用白名單而非黑名單。黑名單比如禁止 DELETE、DROP很容易被繞過(guò)比如用注釋、大小寫混寫、編碼等方式。白名單只允許 SELECT更可靠。如果業(yè)務(wù)確實(shí)需要寫操作建議拆成獨(dú)立的工具單獨(dú)授權(quán)。數(shù)值參數(shù)要檢查邊界。我見過(guò)一個(gè) Agent 調(diào)用“設(shè)置超時(shí)時(shí)間”工具時(shí)傳了999999999導(dǎo)致服務(wù)線程被長(zhǎng)時(shí)間占用。數(shù)值參數(shù)一定要設(shè)上下界超出范圍直接拒絕。字符串參數(shù)要限制長(zhǎng)度。超長(zhǎng)字符串可能導(dǎo)致緩沖區(qū)溢出或性能問(wèn)題。一般建議限制在合理范圍內(nèi)比如 2000 字符。枚舉參數(shù)要嚴(yán)格匹配。如果參數(shù)是枚舉類型校驗(yàn)時(shí)必須精確匹配不要做模糊匹配。比如action參數(shù)只允許start、stop、restart那就不能接受Start或start帶空格。這些技巧看起來(lái)瑣碎但每一條都是從實(shí)際故障中總結(jié)出來(lái)的。參數(shù)校驗(yàn)做扎實(shí)了能擋掉大部分參數(shù)污染問(wèn)題。4.3 調(diào)用頻率與并發(fā)控制除了單次調(diào)用的校驗(yàn)還要控制調(diào)用的頻率和并發(fā)。Agent 有可能因?yàn)檫壿嬪e(cuò)誤陷入循環(huán)短時(shí)間內(nèi)發(fā)起大量調(diào)用把下游服務(wù)打掛。頻率控制我建議做兩級(jí)單 Agent 級(jí)和工具級(jí)。單 Agent 級(jí)限制每個(gè) Agent 每分鐘、每小時(shí)的調(diào)用總數(shù)防止單個(gè) Agent 失控。工具級(jí)限制每個(gè)工具被調(diào)用的總頻率防止所有 Agent 一起把某個(gè)工具打掛。并發(fā)控制則是限制同時(shí)進(jìn)行的調(diào)用數(shù)。比如數(shù)據(jù)庫(kù)查詢工具同時(shí)最多允許 5 個(gè)并發(fā)調(diào)用超出的排隊(duì)等待。這樣可以避免 Agent 并發(fā)調(diào)用把數(shù)據(jù)庫(kù)連接池耗盡。實(shí)現(xiàn)上頻率控制可以用令牌桶算法并發(fā)控制可以用信號(hào)量。這些在工具層的中間件里實(shí)現(xiàn)即可不需要 Agent 端配合。提示頻率限制的閾值不要設(shè)得太死要留出合理的突發(fā)空間。我一般會(huì)設(shè)一個(gè)基礎(chǔ)速率加一個(gè)突發(fā)上限比如基礎(chǔ) 10 次/分鐘突發(fā)上限 30 次。這樣正常業(yè)務(wù)不受影響異常情況也能兜住。5. 運(yùn)行時(shí)監(jiān)控讓失控在發(fā)生前被攔截5.1 調(diào)用鏈追蹤與異常檢測(cè)前面幾層都是事前的防護(hù)運(yùn)行時(shí)監(jiān)控是事中攔截。Agent 的調(diào)用行為是動(dòng)態(tài)的靜態(tài)規(guī)則不可能覆蓋所有情況需要運(yùn)行時(shí)監(jiān)控來(lái)兜底。調(diào)用鏈追蹤是基礎(chǔ)。每次工具調(diào)用都要記錄誰(shuí)調(diào)的、調(diào)了什么、傳了什么參數(shù)、返回了什么、耗時(shí)多久。這些記錄匯總起來(lái)就能看出 Agent 的行為模式。正常模式下Agent 的調(diào)用是有規(guī)律的比如客服 Agent 大部分時(shí)間在調(diào)知識(shí)庫(kù)檢索。如果突然開始調(diào)工單刪除工具那就是異常。異常檢測(cè)可以基于規(guī)則也可以基于統(tǒng)計(jì)。基于規(guī)則的比如“短時(shí)間內(nèi)連續(xù)調(diào)用敏感工具超過(guò) N 次”基于統(tǒng)計(jì)的比如“當(dāng)前調(diào)用頻率偏離歷史均值超過(guò) 3 個(gè)標(biāo)準(zhǔn)差”。我建議先用規(guī)則規(guī)則覆蓋不了的再用統(tǒng)計(jì)。規(guī)則的好處是解釋性強(qiáng)出了問(wèn)題知道為什么被攔。5.2 敏感操作的二次確認(rèn)機(jī)制有些操作風(fēng)險(xiǎn)太高即使權(quán)限校驗(yàn)通過(guò)了也建議加一道二次確認(rèn)。比如刪除數(shù)據(jù)、修改配置、對(duì)外發(fā)送數(shù)據(jù)這類操作。二次確認(rèn)的實(shí)現(xiàn)方式有兩種。一種是同步確認(rèn)Agent 發(fā)起調(diào)用后系統(tǒng)暫停執(zhí)行通知人工審核審核通過(guò)才繼續(xù)。這種方式安全但慢適合低頻高風(fēng)險(xiǎn)的場(chǎng)景。另一種是異步確認(rèn)Agent 發(fā)起調(diào)用后立即返回“待審核”實(shí)際執(zhí)行在審核通過(guò)后進(jìn)行。這種方式不阻塞 Agent但需要 Agent 能處理異步結(jié)果。我一般建議對(duì)“刪除”和“對(duì)外發(fā)送”兩類操作強(qiáng)制二次確認(rèn)。刪除操作不可逆對(duì)外發(fā)送可能導(dǎo)致數(shù)據(jù)泄露這兩類值得多花點(diǎn)時(shí)間確認(rèn)。二次確認(rèn)的通知渠道可以靈活選擇郵件、即時(shí)通訊工具、工單系統(tǒng)都行。關(guān)鍵是確認(rèn)人要能看到完整的調(diào)用上下文誰(shuí)調(diào)的、調(diào)什么、參數(shù)是什么、為什么觸發(fā)確認(rèn)。信息不全的確認(rèn)請(qǐng)求審核人只能盲批失去了確認(rèn)的意義。5.3 熔斷與降級(jí)策略當(dāng)監(jiān)控發(fā)現(xiàn)異常時(shí)系統(tǒng)需要有自動(dòng)處置能力。熔斷和降級(jí)是兩個(gè)常用手段。熔斷是指當(dāng)某個(gè) Agent 或某個(gè)工具的異常率達(dá)到閾值時(shí)自動(dòng)切斷其調(diào)用。比如某個(gè) Agent 連續(xù) 5 次調(diào)用失敗就暫時(shí)禁止它調(diào)用任何工具等人工介入排查。熔斷的好處是防止異常擴(kuò)散避免一個(gè) Agent 的問(wèn)題拖垮整個(gè)系統(tǒng)。降級(jí)是指當(dāng)系統(tǒng)壓力過(guò)大時(shí)主動(dòng)關(guān)閉非核心功能保住核心功能。比如當(dāng)工具調(diào)用隊(duì)列積壓超過(guò)閾值時(shí)暫停所有非關(guān)鍵工具的調(diào)用只保留核心工具。降級(jí)的好處是保證系統(tǒng)在極端情況下仍能提供基本服務(wù)。熔斷和降級(jí)的閾值需要根據(jù)實(shí)際業(yè)務(wù)調(diào)整。我建議先設(shè)一個(gè)保守的閾值觀察一段時(shí)間后再優(yōu)化。閾值太松起不到保護(hù)作用太緊會(huì)誤傷正常業(yè)務(wù)。6. 常見問(wèn)題與排查技巧實(shí)錄6.1 權(quán)限配置的常見坑做 Agent 權(quán)限控制這些年踩過(guò)的坑不少挑幾個(gè)典型的說(shuō)說(shuō)?？右粰?quán)限繼承導(dǎo)致的越權(quán)。有些系統(tǒng)支持角色繼承比如“高級(jí)客服”繼承“客服”的所有權(quán)限。這本身沒問(wèn)題但如果繼承鏈沒管好可能出現(xiàn)“高級(jí)客服”意外繼承了“管理員”的權(quán)限。我的建議是繼承鏈不要超過(guò)兩層且每次新增繼承關(guān)系都要審查。坑二默認(rèn)權(quán)限過(guò)大。很多框架的默認(rèn)權(quán)限是“允許所有”新增工具時(shí)如果不顯式配置權(quán)限就默認(rèn)對(duì)所有 Agent 開放。這是很危險(xiǎn)的。我的做法是把默認(rèn)權(quán)限設(shè)為“拒絕所有”新增工具必須顯式配置允許哪些角色調(diào)用。這樣雖然麻煩點(diǎn)但安全?？尤龣?quán)限回收不及時(shí)。Agent 下線了但它的權(quán)限沒回收令牌還在有效期內(nèi)。如果令牌被截獲就能繼續(xù)調(diào)用。我的做法是 Agent 下線時(shí)主動(dòng)吊銷其所有令牌且令牌有效期設(shè)短一點(diǎn)比如 15 分鐘?？铀臏y(cè)試環(huán)境權(quán)限和生產(chǎn)環(huán)境混用。測(cè)試環(huán)境的 Agent 權(quán)限往往配得很松方便調(diào)試。如果測(cè)試環(huán)境的憑證泄露攻擊者可能用它去調(diào)生產(chǎn)環(huán)境的工具。我的做法是測(cè)試環(huán)境和生產(chǎn)環(huán)境的授權(quán)中心完全隔離憑證不通用。6.2 排查工具調(diào)用問(wèn)題的思路當(dāng)工具調(diào)用出問(wèn)題時(shí)怎么快速定位我一般按這個(gè)順序排查。第一步看調(diào)用日志。日志里應(yīng)該有完整的調(diào)用記錄時(shí)間、Agent ID、工具名、參數(shù)、返回值、耗時(shí)。先確認(rèn)調(diào)用是否真的發(fā)生了參數(shù)是什么。第二步看權(quán)限校驗(yàn)日志。如果調(diào)用被拒絕了權(quán)限校驗(yàn)日志里會(huì)有原因是令牌過(guò)期、還是工具不在允許列表、還是參數(shù)校驗(yàn)失敗。根據(jù)原因定位問(wèn)題。第三步看 Agent 的決策日志。如果調(diào)用發(fā)生了但結(jié)果不對(duì)可能是 Agent 的決策有問(wèn)題。看 Agent 為什么選擇這個(gè)工具、為什么傳這個(gè)參數(shù)。這一步往往能發(fā)現(xiàn) Agent 的邏輯缺陷。第四步看下游服務(wù)日志。如果工具執(zhí)行了但結(jié)果異常可能是下游服務(wù)的問(wèn)題?？聪掠畏?wù)收到了什么請(qǐng)求、處理結(jié)果如何。這個(gè)排查順序從外到內(nèi)逐步縮小范圍。大部分問(wèn)題在前兩步就能定位。6.3 常見問(wèn)題速查表問(wèn)題現(xiàn)象可能原因排查方向解決方案調(diào)用被拒絕提示無(wú)權(quán)限令牌不含該工具權(quán)限檢查令牌的工具列表調(diào)整角色權(quán)限配置調(diào)用被拒絕提示參數(shù)非法參數(shù)校驗(yàn)不通過(guò)檢查參數(shù)校驗(yàn)規(guī)則和實(shí)際參數(shù)修正 Agent 傳參或放寬規(guī)則調(diào)用成功但結(jié)果異常Agent 決策錯(cuò)誤或下游問(wèn)題檢查 Agent 決策日志和下游日志修正 Agent 邏輯或下游服務(wù)調(diào)用頻率超限Agent 陷入循環(huán)或業(yè)務(wù)量突增檢查調(diào)用頻率和 Agent 狀態(tài)修復(fù) Agent 循環(huán)或調(diào)整頻率閾值令牌申請(qǐng)失敗身份憑證無(wú)效或授權(quán)中心故障檢查憑證和授權(quán)中心狀態(tài)更新憑證或修復(fù)授權(quán)中心調(diào)用鏈異常中斷熔斷觸發(fā)或網(wǎng)絡(luò)問(wèn)題檢查熔斷日志和網(wǎng)絡(luò)狀態(tài)排查熔斷原因或修復(fù)網(wǎng)絡(luò)這張表覆蓋了我遇到的大部分問(wèn)題。實(shí)際排查時(shí)先對(duì)照現(xiàn)象找到可能原因再按排查方向逐步確認(rèn)。6.4 幾個(gè)獨(dú)家避坑技巧最后分享幾個(gè)不太常見但很實(shí)用的技巧。技巧一給工具調(diào)用加 trace ID。每次 Agent 發(fā)起調(diào)用時(shí)生成一個(gè)唯一 ID貫穿整個(gè)調(diào)用鏈。這樣排查問(wèn)題時(shí)一個(gè) ID 就能串起所有相關(guān)日志不用在多個(gè)日志文件里翻找。技巧二定期做權(quán)限審計(jì)。每隔一段時(shí)間導(dǎo)出所有 Agent 的權(quán)限配置人工審查一遍?？纯从袥]有權(quán)限過(guò)大的、有沒有長(zhǎng)期不用的、有沒有配置錯(cuò)誤的。我一般一個(gè)季度做一次每次都能發(fā)現(xiàn)幾個(gè)問(wèn)題。技巧三用影子模式測(cè)試新權(quán)限。新增或修改權(quán)限配置時(shí)先開影子模式讓新配置只記錄不生效。觀察一段時(shí)間確認(rèn)新配置不會(huì)誤傷正常業(yè)務(wù)后再正式生效。這樣避免配置錯(cuò)誤導(dǎo)致業(yè)務(wù)中斷。技巧四給 Agent 的行為做基線。記錄每個(gè) Agent 的正常行為模式比如常用工具、調(diào)用頻率、參數(shù)分布。當(dāng)實(shí)際行為偏離基線時(shí)告警。這個(gè)基線不需要很精確粗略的統(tǒng)計(jì)就能發(fā)現(xiàn)大部分異常。技巧五保留人工介入的通道。無(wú)論權(quán)限控制做得多完善都要保留人工介入的通道。當(dāng)系統(tǒng)判斷不了時(shí)能轉(zhuǎn)人工當(dāng)系統(tǒng)誤判時(shí)能人工放行。完全自動(dòng)化的權(quán)限控制在遇到新情況時(shí)往往束手無(wú)策。這些技巧都是實(shí)際項(xiàng)目中驗(yàn)證過(guò)的不是什么高深技術(shù)但很實(shí)用。權(quán)限控制這件事細(xì)節(jié)決定成敗把這些細(xì)節(jié)做到位Agent 的工具調(diào)用就能既順暢又安全。我在實(shí)際使用中發(fā)現(xiàn)權(quán)限控制最難的不是技術(shù)實(shí)現(xiàn)而是平衡。控制太松Agent 容易失控控制太緊Agent 又干不了活。這個(gè)平衡點(diǎn)需要根據(jù)業(yè)務(wù)場(chǎng)景反復(fù)調(diào)整。我的經(jīng)驗(yàn)是先從緊的開始遇到阻礙再逐步放寬比一開始就放松要安全得多。畢竟權(quán)限這東西收緊容易放寬難一開始就收緊后面調(diào)整的空間更大。