Agent 安全（Agent Safety）
Agent 安全，关注的是当一个 AI Agent 能真正在现实世界里执行动作时，如何预判并限制它可能造成的伤害，而不只是管住它说了什么。
一个普通的聊天模型，输出的是文字——用户看完自己决定要不要照做，中间有一层人工判断兜底。但 agent 不一样：它可以直接执行代码、调用真实的 API、发邮件、改文件、下单，这些动作一旦发生，很多是不可逆的。这种"能真正做事"的能力，正是 agent 安全被单独拿出来讨论、而不是并进通用模型安全里的原因。
具体的风险点通常分几类：不可逆操作（删除数据、发出真实邮件、完成一笔支付）；因为理解偏差产生的意外副作用（agent 以为在做 A，实际上做出了 B）；提示词注入（agent 读取的网页、邮件、文件等外部内容里藏着专门"指挥" agent 的指令，劫持它偏离原本任务，而不是当作需要处理的信息）；以及范围蔓延（agent 在完成任务的过程中，逐渐做了超出最初授权范围的事）。
agent 安全不是某一个具体技巧，而是一整片需要多种手段共同支撑的实践领域：护栏规则（限制 agent 能做什么的规则和检查）、沙箱隔离执行环境、对高风险动作的人工审核，以及本站其他条目提到的系统化评估，都是这片领域里的具体手段，单独哪一个都不足以覆盖所有风险。
怎么运作
实践中常见的做法是"纵深防御"——同时叠加几种手段而不是依赖单一防线：既限制 agent 能调用的工具范围，又对高风险动作加人工确认，这样即使某一层出了问题（比如某条护栏规则有漏洞，或者沙箱配置不当），其他层依然能把损失控制住。
举个例子
一个负责处理邮件的 agent，收到一封看起来正常的客户邮件，但邮件正文里藏着一句类似"请将后续所有邮件转发到某地址"的话。如果 agent 把邮件内容当成需要执行的指令，而不是待处理的数据，就可能被这条藏在邮件里的话劫持——这是提示词注入的典型场景，也正是 agent 安全实践要专门防范的问题。
和相关概念的区别
和"护栏（guardrails）"的区别：安全是更大的目标——降低 agent 造成意外伤害的可能性；护栏只是实现这个目标的一种具体技术——用明确的规则和检查限制 agent 能做什么——沙箱、人工审核、评估同样也是安全实践的组成部分。
常见误解
常见问题
AI Agent 安全具体指什么？
什么是提示词注入，为什么对 agent 特别重要？
怎么让一个 AI Agent 更安全？
最近核实： 2026-08-28