身份和授权系统能判断一个用户或服务有没有权限访问某个资源，但判断不了一个AI代理提出的动作在具体语境里是否合适。Uber工程团队在一篇文章里点出了这个缺口：当代理会对外部内容做动态推理、并真的去执行动作时，传统的身份与API管控就不够用了。

打开网易新闻 查看精彩图片

这个缺口带来的风险不止一种。提示注入、工具与记忆投毒、目标劫持、行为漂移，以及幻觉驱动的动作，都被列为需要应对的问题。Uber给出的解法是一套覆盖代理全生命周期的框架，分三层：部署前、运行时强制执行、部署后持续保障。

部署前：先登记，再查代码

代理在供给阶段必须注册进Uber AI Registry，登记内容包括身份、归属、人格设定、允许的意图、约束条件、依赖项和风险分级。这一步由Argus自动化完成，它会分析代理的源代码、提示词、配置、依赖、暴露的端点以及工具调用路径，找出安全弱点。代理所使用的MCP服务器和工具，也按同样方式处理。

运行时：把“行为授权”加进老模型

运行时这一层，框架在传统的策略管理、策略决策、策略执行三段式之上，加了行为授权——评估代理的动作在给定语境下是否合适。它由三个组件落地：

  • AI Registry：定义并管理代理的策略、人格、意图与约束；
  • AI Guards：对照既定策略评估交互与拟执行动作；
  • Agent Guard运行时钩子：在关键检查点调用AI Guard，在交互或动作被放行之前先应用其裁决。

部署后：能回放，才谈得上验证

部署之后的重心转向持续保障，依赖端到端可观测性、审计、可解释性和回放。这一层有两个主要组件：一条统一执行轨迹，把代理动作、工具调用和安全决策串起来；以及被记录下来的交互，一旦策略和护栏更新，就可以回放这些交互，评估新语境下的有效性。

Uber也列出了生产环境落地安全控制的几道坎：策略的严格程度要拿捏，太严会带来大量误报，太松又保护不足；运行时延迟要压；框架搭建阶段的开发者摩擦要减；还要从通用控制走向代理专属策略，后者让执行“更具语境、更精确”。

外部视角并不全是掌声。联合国高级信息技术官员Tristan G.在LinkedIn上提出几点担忧：按代理配置人格、意图、约束和校准确实是最有价值的部分，但成本也高，“投入会随工作流数量线性增长”。他还指出，按Uber自己的说法，最强的控制是把代理限制在明确约束内，这本质是最小权限，并非新概念。他留下的开放问题是：对那些不是你自建的代理，比如供应商或SaaS提供的代理，你插不进自己的执行钩子，这套怎么用？

AI架构师Pratik Dhanave的关注点类似：Uber评为最有效的，恰恰是他们称为最不炫目的那条——为每个代理写明意图和约束，而不是通用阈值；通用阈值失败，是因为每个代理的用途和风险画像都不同。代价是灵活性，而Uber认为这笔代价值得付。

这套安全框架仍在演进，Uber计划在上述各个方向继续扩展能力。