近日，在线编程平台 Replit 对外发布《Agent Habitat Architecture》白皮书，推出一套面向 AI 智能体的安全参考架构与成熟度评估体系，旨在解决当下 AI Agent 权限失控、提示注入、凭证泄露、越权逃逸等安全风险，为企业部署具备工具调用、代码执行能力的 AI 智能体提供可落地的安全基准。

随着 AI Agent 能力快速迭代，智能体已经能够编写代码、调用第三方工具、访问企业内部业务系统。但当前多数 Agent 运行环境缺少原生安全边界：智能体可获取密钥、读取私有数据，容易被网页、文档中的恶意指令诱导，发生数据外泄、越权删改业务资源等安全事故。白皮书提出 “Agent Habitat（智能体栖息地）” 概念：即企业定义的受控运行环境，让 AI 智能体在明确规则下与人、知识库、工具、业务系统交互，在释放 Agent 生产力的同时建立完整安全管控边界。

核心设计思想：Agent 运行过程中权限只能收缩，不能扩大；凭证永远对智能体不可见；所有网络访问必经策略校验；不可逆高危操作必须经过人工审批。成熟度等级 1 抵御意外故障，等级 2 防御提示注入攻击，等级 3 应对智能体主动尝试逃逸的极端场景。

架构核心组件：划分信任边界，Broker 作为唯一对外出口

整套架构将系统划分为可信、半可信、不可信三大区域，定义六大核心组件，杜绝 Agent 直接接触外部凭证与网络资源：

1. 身份引导器（Identity bootstrapper）：基于平台启动证据颁发短期工作负载身份，不赋予任何权限，拒绝智能体自报身份。

2. 执行框架（Harness）：解析模型输出，执行工具调用策略，生成沙箱与子智能体的受限令牌。

3. 持久化执行器（Durable executor）：维护操作日志，记录每一次带副作用的动作，支持故障恢复、幂等重试，避免崩溃后重复执行操作。

4. 令牌服务（Token service）：管理根密钥，仅向经过可信校验的工作负载下发运行令牌，维护令牌吊销列表。

5. 沙箱（Sandbox）：不可信执行环境，仅拥有策略允许的挂载与网络通路，内部不存放任何凭证。

6. 代理 Broker：智能体与外部所有服务的唯一双向通路。由 Broker 从加密保险箱注入合法凭证，拒绝未经它注入的密钥，自动脱敏响应里的密钥信息，拦截出站机密数据，模型、MCP 服务、公网流量全部强制经过 Broker 转发。

白皮书同时提出 12 条可验证的核心安全原则，包含默认拒绝策略、权限单向衰减、动态自适应过滤、工作负载身份与溯源、强隔离、凭证代理、数据流污点管控、人工审批、软件供应链安全、持久化执行、故障隔离、独立审计观测。特别强调：安全管控不能依赖大模型本身的 “自觉配合”，必须假设模型会寻找系统漏洞，所有安全逻辑要在模型域外完成强制校验。

11 维度成熟度量表：可量化评估 Agent 环境安全水平

为方便企业自测以及评估第三方 Agent 厂商产品，白皮书设计一套 0‑3 级的成熟度量表，覆盖沙箱隔离、网络隔离、外部身份、安全策略、数据流、人工审批、供应链安全、持久化执行、故障遏制、观测审计、工作负载身份共 11 个评估赛道。

- Level‑0：无防护，风险完全暴露；

- Level‑1：基础防护，抵御意外操作失误；

- Level‑2：强化防护，对抗提示注入等外部恶意输入；

- Level‑3：最高安全等级，防范智能体主动逃逸、探测漏洞。

评估规则：整套环境的安全成熟度由得分最低的维度决定，企业需要优先补齐短板。每个等级都附带可落地验证证据，同时引用大量真实安全事故案例作为风险佐证，例如凭证泄露、沙箱逃逸、提示注入导致数据外溢、无审批执行高危操作等事件，明确不同等级对应的风险边界。

举几个关键赛道的分级目标：

- 沙箱隔离：从普通进程、容器，进阶到微 VM，最高等级实现执行组件物理主机隔离；

- 外部身份凭证：从长生命周期明文密钥，演进到短期令牌，再到凭证代理，最高等级实现请求身份绑定，防止令牌重放；

- 人工审批：从完全无审批、会话一次性授权，升级到单动作独立审批；最高等级直接将生产写权限排除在 Agent 权限天花板之外，Agent 仅生成变更提案，由人工流程落地修改；

- 故障遏制 Containment：从人工杀进程，到远程急停开关，自动切断网络吊销令牌；最高等级实现完全带外杀伤链路，即便 Agent、沙箱完全卡死，依然可以完成隔离，并定期开展应急演练。

威胁模型与适用边界

白皮书梳理主要威胁面：不可信外部内容诱导、模型自身漂移与试探漏洞、恶意租户、依赖组件被攻陷、策略执行引擎缺陷、系统崩溃重试带来的副作用。保护资产包含企业机密数据、多租户隔离、第三方系统、审计链路等。

范围界定：架构聚焦 Agent 运行期安全，包含子智能体、凭证、数据访问、工具调用、网络通路；不覆盖模型训练对齐、Agent 生成业务代码本身质量、内容安全等领域，可与 NVIDIA Open Agent Safety Platform、Blueprint Alliance 参考架构形成互补，补充实现层不变量约束。

落地实践建议

白皮书给出企业落地三步建议：

1. 对照 11 个赛道逐项诚实打分，必须具备对应证据才可以宣称达到对应等级；

2. 优先修复得分最低的短板，攻击者会优先突破最弱环节；

3. 选型外部 Agent 平台时，直接以文档中 “证据项” 作为对厂商的质询清单。

该文档定位为动态演进的活标准，随着 Agent 攻击手段迭代持续更新，面向安全负责人、平台架构师，以及所有自研、采购 AI 智能体平台的从业者开放参考。