AI 智能体威胁模型

聊天机器人产生文本，人类阅读它。AI 智能体读取不可信的网页、 执行工具调用、访问内部服务，并在运行时安装它发现的能力—— 通常完全没有人工介入。这种攻击面上的差异，就是文本审核问题与 完整攻击面问题之间的差异。 本页对你的智能体面临的威胁类别进行分类，并将每种威胁映射到 应对它的 OrcaRouter 控制。它是威胁部分的枢纽；每行都链接到 深入解析页面。 有关控制本身，请参见控制栈 和使用 OrcaRouter 保护 AI 智能体。

---

​

1. 为什么智能体比聊天机器人有更大的攻击面

智能体的三个结构性属性改变了风险状况： 它们采取行动。 包含有害文本的聊天机器人响应是糟糕的。对 shell.exec 的工具调用删除了数据库，或攻击者通过提示注入驱动的 支付 API 调用，更糟糕——而且往往是不可逆的。被攻破的智能体的爆炸 半径不受人类选择对文本做什么的限制；它受智能体能访问哪些工具 的限制。 它们摄取不可信内容。 智能体检索文档、抓取网页、读取邮件并 处理工具结果——所有这些都可能包含针对智能体本身的对抗性指令。 只筛查用户输入的内容过滤器会遗漏上下文中注入的一切。 它们自我扩展。 代表模型自动安装技能和 MCP 服务器的智能体框架 可以加载你从未审查过的能力，包括带有恶意工具定义、看起来合法的 能力。攻击可以作为模型决定使用的新工具到达——而不是用户输入的 提示词。

---

​

2. 威胁到防御的映射

智能体在生产中面临的十类威胁，每种都映射到应对它的 OrcaRouter 控制。展开任何威胁查看机制和防御。

---

​

3. 控制栈总结

上表中的每项防御都是同一个有序栈中的一层。理解它们如何组合 是正确应用它们的关键。 这些层是独立且累加的——请求通过全部四个。自治级别（tight / balanced / permissive）一步配置防护栏和防火墙，因此你不必 单独调优它们就能获得一致的姿态。 有关单个请求如何遍历所有四个层的逐步演练，请参见 控制栈。

---

​

4. 为威胁选择正确的层

有些威胁需要一个层；其他的需要两个协同工作。快速决策：

• 提示词或响应中的文本是攻击面——首先选择防护栏 （关键词、正则、PII、LLM judge 预设）。
• 工具调用或出站请求是攻击面——选择智能体防火墙（inbound/ response/mcp/egress 执行面，deny/sanitize/pending_approval/ cap_cost 判定）。
• 文本和动作都是攻击面——分层使用。注入的指令在输入上 触发防护栏；注入试图驱动的工具调用在动作上触发防火墙规则。
• 身份和范围——使用限定范围的密钥来约束智能体被允许调用 什么，在任何内容或动作规则被评估之前。

参见防护栏 vs. 防火墙进行 更深入的比较。

---

​

5. 深入解析威胁页面

---

参考： 控制栈 — 防护栏 — 智能体防火墙 — 防火墙规则 — MCP 网关 — 技能 — 限定范围的密钥 — AI 智能体零信任