评分卡的问题
Agent 风险评分总是以采购流程的形式反复出现。登记册需要一个可比较的数字；供应商可以在不暴露遥测数据的情况下提供一张评分卡；评分卡回答的是这个 agent 是否获批，而不是这次运行是否安全。这是一种范畴错误。在部署时计算出的分数，在 agent 接触新工具、新目标地址或新任务形态的那一刻就已过时。真正有用的产物不是登记册里的一个数字，而是从运行本身持续推导出的信号。
这并不是反对治理。这是关于证据存放在哪里的讨论。治理需要的是一个指向实时信号的指针，而不是一个冻结的替代品。
为什么静态评分会持续存在
这种持续存在是结构性的，而非不理性的。采购团队要为登记册负责。登记册需要行，而行需要能在供应商、团队和评审周期之间比较的数值。评分卡契合这套工作流。实时信号则不然，因为它在被读取和被采取行动之间会发生变化。
供应商能提供什么也存在不对称。评分卡可以在不暴露遥测数据、工具 schema 或 trace 数据的情况下产出。运行时信号则不能。索要后者，就是在索要 agent 实际行为的可见性，这是一场不同的商业对话。
结果是，登记册最终回答的是一个容易回答、却很少是真正重要的问题。审批是一道闸门。安全是轨迹的一种属性。两者并不相同，把它们混为一谈会制造一种虚假的覆盖感。
一次运行实际揭示了什么
一次运行是一连串决策。工具调用序列会显示出任何部署前问卷都捕捉不到的意图漂移。一个 agent 从读取文档开始，到写入外部端点结束，它在单个任务内就改变了自己的有效风险画像，而没有任何静态分数能反映这种转变。
有几个特征是可观测的，且记录成本很低：
- 工具调用序列。 顺序、相邻性和重复性。一种从未在先前运行中同时出现过的全新工具组合，与一条熟悉的调用链是不同的信号。
- 出站目标地址。 首次出现的主机、协议和路径。新颖性是比黑名单更强的信号，因为黑名单总是滞后。
- 动词构成。 读类操作与写类操作的比例。向写入、删除或发送的偏移，会改变一次错误的后果。
- 重试模式。 失败后的反复尝试，可能表明一次瞬时故障，也可能是一次升级尝试。这个区分很重要。
- 升级尝试。 运行中途请求更宽的权限、更长的超时或额外的工具。
同一个 agent 可以在一小时内对某个任务是低风险，对另一个任务是高风险。一个读取文档并返回文本的摘要任务，与一个读取文档、查询数据库并发布到外部服务的任务，不是同一个风险对象，即使两者由同一个 agent 以相同配置执行。
一种可行的信号设计
设计目标是：一个从轨迹推导、随轨迹展开而更新、并附着于动作而非 agent 的信号。
从轨迹特征推导风险
对运行评分，而不是对 agent 评分。特征包括新颖的工具组合、首次出现的目标地址、动词构成偏移、重试突发和升级尝试。每个特征都为一个信号做出贡献，该信号随新事件到达而重新计算。信号是所走路径的函数，而不是走这条路径的实体的属性。
一个具体机制：为每个工具类别维护一份已观测调用序列和目标地址的基线。当一次运行产生了一个此前未观测到的组合，或一个此前未见过的目标地址时，发出一个新颖性事件。在滑动窗口上聚合新颖性事件，以产生当前的实时风险信号。窗口很重要，因为单个新颖目标地址是噪声；短时间间隔内的一簇则不是。
把阈值附着于动作，而非 agent
阈值应当对动作设闸，而不是对行为者设闸。读取的放行成本很低。写入首次出现的目标地址则不然。删除则不然。权限升级则不然。在动作层面表达的阈值，可以让低风险运行无需审查即可继续，同时强制在承载后果的具体步骤上暂停。
登记册条目也正属于这里。登记册应当持有一个指向实时信号的指针和当前的阈值策略，而不是一个静态分数。该条目回答的是证据在哪里和适用什么策略，而不是这个 agent 是否安全。
让登记册条目保持为指针
一个指向实时信号的登记册，会随信号变化而保持有用。一个持有冻结数字的登记册，一旦 age
权衡取舍
持续评分不是免费的，代价是真实的。
存储与审查注意力。 为每次运行记录轨迹特征，会产生必须被存储、查询和审查的大量数据。保留策略很重要。并非每个事件都需要以完整保真度保留；采样和聚合是正当的工程选择，前提是采样被记录在案，且聚合不会掩盖真正重要的事件。
告警疲劳。 这是主要的失效模式。如果阈值没有按工具类别调优，信号就会产生源源不断的低价值告警，审查者就不再读它们。失效不在于信号是错的，而在于信号被忽视。按工具类别调优不是可选项。读类阈值和写类阈值不应共用同一个值。
假阴性与假阳性。 对于不可逆动作，假阴性比假阳性代价更高。一次被阻止的写入可以被审查并放行。一次已完成的删除则不能。这种不对称性主张对不可逆动作采用更紧的阈值，对可逆读取采用更松的阈值，即使这意味着读路径上有更多假阳性。
对抗性适应。 一个针对该信号被优化的 agent，会学会避开触发它的特征。新颖性检测会随着新颖性变得熟悉而退化。信号需要定期重新建立基线，而重新建立基线本身就是一个审查事件。
这改变了什么
实际的转变是从一次性评估转向持续评估。登记册仍然存在，但它持有一个指向实时信号的指针，以及一套把信号级别映射到动作闸门的策略。供应商对话从提供一张评分卡变为暴露使信号成为可能的遥测数据。审查对话从这个 agent 是否获批变为这次运行做了什么，它是否越过了阈值。
这是一套更难构建、也更难推销的工作流。它也是唯一一套能在 agent 行为变化时保持真实的方案，而行为必然会变化，因为它所处的环境也在变化。
延伸阅读
封面照片：Jakub Pabis / Pexels。