2026-10-22 12:01:37 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

智能体正常行为基线建立与意图偏差检测：从 UEBA 到 ABA 的范式迁移、双基线架构与四级检测管线

原创

H
H

AI安全推进计划

2026年10月21日 07:09
北京

去阅读

执行摘要

当大模型从\"对话式助手\"演进为\"自主执行体\"（Autonomous Agent），企业安全体系遭遇了一个结构性的范式断裂：传统安全边界建立在\"人\"与\"进程\"这两个稳定实体之上，而智能体同时具备两者的特征——它像人一样拥有目标与意图，又像进程一样拥有系统调用权限与网络出口。更棘手的是，智能体的正常行为本身就在持续漂移：同一个 Agent 在周一处理报表、在周三执行代码重构，其行为分布天然是宽谱的。这让\"异常检测\"这个古老命题失去了最基础的参照系——你无法为一条不断移动的靶子画一条固定基线。

第一，基线的对象必须从\"行为模式\"升级为\"意图函数\"。传统 UEBA 建模的是\"实体做了什么\"（what），而智能体场景下真正需要建模的是\"实体被授权做什么、以及它此刻是否仍在该授权语义内\"。本报告提出双基线架构（Dual-Baseline Architecture）：静态的能力基线刻画授权边界，动态的行为基线刻画习惯分布，二者交叉比对才能在不牺牲召回率的前提下压低误报。

第二，意图偏差是序列级威胁，单点检测必然失效。真实的智能体攻击（提示注入→工具滥用→数据外泄）每一个单独步骤在语义上都可能是合法的，只有将其置于执行轨迹（trajectory）的时间轴上才显现恶意。本报告引入轨迹意图一致性检测方法，并给出可工程化的四级管线。

第三，落地必须走\"影子模式→分级处置\"的渐进路线。任何声称能第一天就阻断智能体异常行为的产品都不可信，因为基线尚未成熟。本报告给出包含四个成熟度阶段、三张核心基线的落地路线图，并明确各阶段的量化准入指标。

报告同时覆盖：主流学术方案的技术解剖（含 MisActBench、Goal-Drift Probes 等 ICML 2026 工作）、OWASP Agentic Top 10 与 MITRE ATLAS 的映射、可观测性数据面选型（OpenTelemetry GenAI 语义约定）、以及 2026 年真实智能体安全事件的基线突破复盘。

报告定位：面向企业安全架构师、CISO、SOC 负责人与 AI 安全产品经理的技术决策参考。

一、问题背景：智能体为何让行为基线失效

要理解智能体为何让行为基线失效，需要先厘清三个递进的问题：智能体的出现改变了哪些既有安全假设、这些改变如何导致传统检测方法的噪声底被抬高、以及由此暴露出哪些具体的攻击路径。本章依次回答这三个问题，为后续的概念重定义与方法论设计奠定问题基础。

（一）从\"人工操作\"到\"自主执行\"的权力转移

企业安全检测体系过去二十年的核心假设是：操作由人发起，人是有行为惯性的生物。UEBA（用户与实体行为分析）之所以有效，正因为它捕捉的是人类行为中的统计规律——财务人员在月末集中处理付款，运维工程师在凌晨部署变更，这些模式构成了\"正常\"的定义。

智能体打破了这一假设的三个支柱：

表 1-1　传统场景与智能体场景的三项关键假设对比

假设	传统场景	智能体场景	后果
行为主体稳定	同一账号背后是同一个人，习惯变化缓慢	同一 Agent 身份下，任务跨度极大（写代码／查数据库／发邮件）	行为分布宽谱化，基线方差爆炸
权限边界清晰	权限由岗位决定，越权即异常	Agent 被授予\"为完成任务所需的全部权限\"，权限组合动态	单点权限合法，组合起来越权
因果链可追溯	一次操作对应一次明确意图	一次任务拆解为 N 步工具调用，意图分散在多步之间	单步检测无法捕捉意图，序列级威胁逃逸

CSA（云安全联盟）在《Agentic SOC: The Behavioral Baseline Gap》白皮书中将此现象精确概括为：意图漂移（Intent Drift）是一种序列级威胁，其杀伤力恰恰来自于每一步单独看都合法。

（二）高噪声底：为什么直接套用 UEBA 会淹死在误报里

一个直觉性的方案是：把 UEBA 搬到智能体上。实践中这条路会迅速失败，原因是噪声底（Noise Floor）被抬高了一个数量级。

考虑一个典型的企业级 Coding Agent，它每天可能产生数万次工具调用。若按传统 UEBA 的\"低频即可疑\"规则，一个 Agent 首次调用某数据库是低频事件，会触发告警；但 Agent 的任务本质就是\"不断尝试新工具组合\"，低频是它的常态。实测经验表明，直接套用 UEBA 规则在智能体场景下的误报率可达数个百分点，意味着每天数千条无效告警。

关键洞察：UEBA 在智能体场景下失效，不是因为模型不够好，而是因为它建模的对象错了。UEBA 建模\"实体的行为习惯\"，而智能体的行为习惯是任务驱动的、一次性的、宽谱的。真正稳定的对象是智能体的授权语义与目标函数，而非其动作序列。

这一判断直接催生了本报告的\"双基线\"架构（见第四章）。

（三）威胁场景全景：意图偏差的五条攻击路径

要让基线有意义，必须先明确它要防什么。基于对 2025—2026 年公开事件与 OWASP Agentic Top 10 的分析，意图偏差类威胁可归纳为五条典型路径：

表 1-2　意图偏差的五条典型攻击路径

路径编号	攻击名称	序列特征	对应 OWASP 条目
P1	目标劫持（Goal Hijack）	通过注入内容改写 Agent 的顶层目标	ASI01
P2	工具滥用（Tool Misuse）	合法工具被用于非授权目的	ASI02
P3	权限提升（Privilege Escalation）	逐步获取超出初始授权的工具	ASI03
P4	数据外泄（Data Exfiltration）	读取→编码→外发的三段式序列	ASI06
P5	记忆投毒（Memory Poisoning）	写入持久化上下文，影响后续任务	ASI09

注：OWASP Top 10 for Agentic Applications 2026 完整条目为 ASI01 Agent Goal Hijack、ASI02 Tool Misuse & Exploitation、ASI03 Identity & Privilege Abuse、ASI04 Agentic Supply Chain Vulnerabilities、ASI05 Unexpected Code Execution、ASI06 Memory & Context Poisoning、ASI07 Insecure Inter-Agent Communication、ASI08 Cascading Failures、ASI09 Human-Agent Trust Exploitation、ASI10 Rogue Agents。其中 ASI01 与 ASI02 是与\"意图偏差\"直接相关的核心条目。

P1 目标劫持是最具代表性的意图偏差：攻击者并不需要获得系统权限，只需在 Agent 读取的数据（网页、文档、邮件、代码注释）中嵌入指令，即可将 Agent 的顶层目标从\"总结这份文档\"改写为\"把这份文档里的凭证发到我的服务器\"。整个过程 Agent 的每一步工具调用都可能完全合法。

二、概念体系：重新定义\"正常\"与\"偏差\"

方法论的重构必须先于工程实现。在讨论具体检测技术之前，本章回答一个更根本的问题：在智能体语境下，\"正常\"与\"偏差\"究竟应当如何定义？本章先给出\"从分布到授权\"的概念重定义，再据此划分意图偏差的三个层次，最后梳理 UEBA 向 ABA 迁移过程中的关键变化。

（一）\"正常行为\"的重新定义：从分布到授权

在智能体语境下，\"正常\"不是一个统计学概念，而是一个授权学概念。这是本报告最重要的概念澄清。

传统定义：正常 = 出现频率高的行为模式。智能体定义：正常 = 在给定任务上下文与授权范围内，目标与动作保持一致的执行轨迹。

这两者的差别可以用一个类比理解：

旧范式像交通摄像头——记录每辆车的行驶轨迹，发现\"这辆车今天走了不常走的路\"就报警。但智能体的\"任务\"每天都在变，它天天走新路。

新范式像机场安检——不关心你走哪条路，只关心两件事：你的登机牌授权你去哪（能力基线），以及你的行为路径是否指向登机牌上的目的地（意图一致性）。

基于此重新定义，本报告给出形式化表述。设智能体 A 的任务为 T，其执行轨迹为动作序列 τ = ⟨a1, a2, …, an⟩，授权能力集合为 CA。则：

1.能力合规（Capability Conformance）：对轨迹中任意动作 ai，其所需权限均为 CA 的子集。

2.意图一致（Intent Consistency）：轨迹的合成语义应指向任务目标 T。

只有当上述两者同时成立时，轨迹是\"正常\"的。任一条被破坏，即构成意图偏差。

（二）意图偏差的三个层次

基于偏差发生的粒度，可将其分为三个层次，对应三套不同的检测机制：

表 2-1　意图偏差的三个层次与对应检测机制

层次	名称	偏差描述	检测粒度	典型技术
L1	动作层偏差	单次动作超出授权	单步	能力基线校验、策略引擎
L2	序列层偏差	单步合法但组合越权	子序列	序列模式挖掘、TICD
L3	目标层偏差	轨迹整体偏离任务目标	全轨迹	轨迹-目标语义对齐

关键结论：L1 检测是必要但不充分的，仅靠 L1 会被 P4（数据外泄）这类\"每步合法\"的攻击完全绕过；L3 检测召回率最高但上下文窗口成本大、延迟高。工程上必须三层联动（见第五章四级管线）。

（三）UEBA → ABA 的范式迁移

将 UEBA 迁移到智能体场景，业界称为 ABA（Agent Behavior Analytics）。二者的对照如下：

表 2-2　UEBA 与 ABA 的多维度对照

维度	UEBA（传统）	ABA（智能体）
建模对象	人／服务账号的行为习惯	Agent 的授权语义 + 目标一致性
基线周期	14—30 天行为成熟期	能力基线即时生效 + 行为基线 7—14 天
主要信号	登录、访问、数据量	工具调用链、上下文流入、推理轨迹、跨 Agent 通信
告警粒度	实体级异常分	轨迹级意图不一致分
处置方式	阻断／告警	分级（观察／降权／沙箱／阻断）
核心挑战	误报率	意图的不可观测性（Agent 内部推理不总是可见）

范式迁移中最被低估的难点是\"意图的不可观测性\"。传统 UEBA 观测的是外部事件流，而意图存在于 Agent 的内部推理（Chain-of-Thought、规划输出）中，这部分数据在多数商业 Agent 框架中默认不对外暴露。这直接决定了：要么推动 Agent 框架开放推理轨迹（可观测性治理），要么用外部行为序列反推意图（黑盒检测）。本报告第六章讨论前者，第五章讨论后者。

三、基线建模方法论：四条基线维度

要建立可用的行为基线，需要先在方法论层面明确\"建什么\"。参考学术与工业界实践，智能体基线可沿四个维度构建：

表 3-1　智能体基线的四个建模维度

维度	基线内容	数据来源	检测价值
B1 资源访问模式	Agent 访问哪些数据源、以什么频率、什么顺序	数据访问日志、eBPF 文件／网络调用	发现越权访问与新资源接触
B2 时间节律	任务触发的时间分布、执行时长分布	任务调度日志、OTel span 时长	发现异常时段活动、异常长尾任务
B3 通信拓扑	Agent 与哪些 Agent／工具／外部端点通信	工具调用图、MCP 连接日志、网络流	发现新增外联端点、跨 Agent 越界
B4 目标状态推进	轨迹是否朝着任务目标单调推进	规划输出、推理轨迹、子任务完成度	发现目标漂移、无效循环、偏离路径

该四维框架综合了 CSA 白皮书的序列级威胁分析、公开的智能体基线四要素论述，以及多家 ABA 厂商的公开技术文档。

（一）B1 资源访问模式基线

这是最成熟、最容易落地的一维。核心做法是建立\"Agent-资源\"二部图的动态白名单：

l冷启动：基于 Agent 的应用画像（AppProfile）预设初始资源集合。

l在线学习：以滑动窗口统计访问频次，区分\"常规资源\"与\"新接触资源\"。

l细化维度：不仅记录\"访问了哪张表\"，还记录访问模式（全表扫描 vs 主键查询）、访问时段、单次数据量。

实战要点：单纯记录\"新资源接触\"会产生大量噪声（Agent 任务多样性导致）。必须叠加数据量维度——\"新资源 + 大数据量读取\"才是强信号。这与数据外泄（P4）的三段式特征（读取→编码→外发）直接对应。

（二）B2 时间节律基线

智能体的时间特征与传统账号截然不同：传统账号的\"深夜活动\"是强异常信号，而 Agent 可能被定时任务在凌晨三点唤醒。

因此 B2 的建模对象不是\"活动时间\"，而是\"任务发起者-时间\"的关联：

表 3-2　B2 时间节律基线的正常与异常模式对比

特征	正常模式	异常模式
任务触发源	定时任务／用户会话／上游 Agent	未知触发源、内容注入触发
执行时长	与任务复杂度匹配的分布	异常长尾（可能在做额外的事）
调用频率	平稳或随任务量波动	突发高频（可能被用作扫描／爆破）

（三）B3 通信拓扑基线

这是智能体时代新增且极为关键的一维。多智能体（Multi-Agent）架构下，Agent 之间的调用关系构成了一个动态图，攻击者常利用 Agent 间的信任传递（A 信任 B，B 被污染后借 A 的权限行事）。

建模方法：

1.构建通信邻接矩阵：Agent 间、Agent 与工具间、Agent 与外部端点间的调用关系。

2.建立基线邻接图与其时间演化。

3.检测新增边（首次通信）与边权突变（通信频率异常）。

（四）B4 目标状态推进基线

这是最难但最有价值的一维，也是区分\"智能体安全\"与\"传统安全\"的分水岭。

核心思想：一个正常执行任务的 Agent，其轨迹应当表现出对任务目标的单调逼近。若轨迹出现了\"目标无关的消耗性动作\"（如反复读取与任务无关的文件、向外部端点发送数据），则构成目标层偏差。

实现上，这一维依赖推理轨迹的可观测性（见 6.1 节）或轨迹语义的逆向推断（见 5.3 节）。

四、双基线架构：静态能力基线 + 动态行为基线

概念重定义与基线维度明确之后，需要回答\"如何组织这些基线\"这一架构问题。本章论证单一基线为何必然不足，进而提出双基线架构，并分别给出能力基线（静态）与行为基线（动态）的设计方法，最后以四象限决策矩阵给出交叉判定规则——这是本报告最具工程原创性的部分。

（一）为什么单一基线不够

单一动态行为基线的问题已经清楚：Agent 行为宽谱，动态基线方差大，要么阈值松（漏报）要么阈值紧（误报）。

单一静态能力基线的局限同样明显：能力边界只能告诉你\"能不能做\"，不能告诉你\"该不该做\"。一个被授权读写数据库的 Agent，读取数据库本身完全在授权内，但若它同时做了\"读取→base64 编码→POST 到外部 IP\"，就构成意图偏差——而这只有动态序列分析才能发现。

因此需要双基线交叉，其架构如下：

（二）能力基线的设计

能力基线是声明式的、即时生效的，它回答\"这个 Agent 被允许做什么\"。设计要点：

表 4-1　能力基线的四个组成组件

组件	内容	维护方式
工具授权集 C	Agent 可调用的工具／MCP Server 列表	配置声明 + 版本管理
数据域授权 D	可访问的数据源、表、字段级权限	与数据权限系统联动
外联白名单 E	允许访问的外部域名／IP／端点	网络策略同步
权限组合约束	禁止出现的组合（如\"读敏感库 ∧ 外联网关\"）	人工定义 + 挖掘发现

最具工程价值的是\"权限组合约束\"。单个权限合法，但组合起来构成风险。例如某 Agent 同时具备\"读取客户数据库\"和\"调用外部 HTTP 工具\"的能力，单看都合规，但二者的组合是数据外泄的直接通道。这类约束难以自动生成，需要结合攻击路径分析人工定义，或通过 L2 序列挖掘发现。

（三）行为基线的设计：三段式建模

行为基线是统计式的、渐进成熟的。本报告推荐三段式成熟路径：

表 4-2　行为基线的三段式成熟路径

阶段	时长	数据量要求	交付物
冷启动期	第 1—7 天	影子模式，只记录不告警	B1—B3 的初版分布
基线收敛期	第 8—14 天	积累任务多样性样本	B1—B4 稳定分布 + 分位数阈值
在线演进期	第 15 天起	持续学习 + 漂移检测	自适应基线 + 漂移告警

关键设计：为什么要区分\"基线漂移\"和\"意图偏差\"？Agent 的合法行为会随时间演进（上线新功能、接入新数据源），这会造成基线漂移。若不区分，会把合法演进误判为异常。做法是引入双阈值机制：

l漂移阈值（Drift Threshold）：缓慢、单调、跨多天累积的变化 → 判定为基线演进，自动更新基线。

l偏差阈值（Deviation Threshold）：突发、显著、与任务上下文不符的变化 → 判定为意图偏差，触发告警。

（四）双基线交叉决策矩阵

两个基线的检测结果交叉，形成四象限处置策略：

表 4-3　双基线交叉决策矩阵

	能力基线：合规	能力基线：越界
行为基线：正常	正常放行	能力越界告警（高优先级，通常是配置错误或提权尝试）
行为基线：异常	意图偏差告警（最需关注：每步合法但整体偏离）	高危：立即阻断（越权 + 行为异常，典型攻击特征）

决策矩阵的核心价值在于左下象限——\"能力合规但行为异常\"。这是传统安全体系完全看不见的盲区，也是本报告致力于解决的核心问题。

五、意图偏差检测的四级管线

本节给出可工程化落地的检测管线。设计目标：在不牺牲召回的前提下控制误报与延迟。核心思路是分级过滤——用轻量检测快速筛掉绝大多数正常轨迹，只对可疑轨迹投入昂贵的深度分析。

（一）管线总览

分级设计的意义：L1 承担 95% 的流量，保证常规场景零延迟；L2 承担 5%，用毫秒级成本抓住大部分攻击；L3 只处理 0.5%，可以用大模型做昂贵的语义推理。这套架构在保证召回的同时，将平均检测延迟维持在业务可接受范围内。

（二）L1—L2：轻量与序列检测的工程实现

L1 快速过滤的实现要点：

1.能力基线校验：将授权集合加载为内存索引（如 Roaring Bitmap），单步校验 O(1)。

2.规则引擎：将已知攻击模式编译为规则（如\"单次读取 > 100MB\"、\"首次外联新域名\"）。

3.状态机：追踪轨迹的进行状态，为 L2 提供上下文。

L2 序列检测的核心是危险子序列识别。以数据外泄（P4）为例：

危险子序列模板：[敏感数据读取] → [编码/压缩操作] → [网络外发到非白名单]

实现方式有二：

l模式匹配：将轨迹映射为抽象动作符号序列（如 R=Read, E=Encode, X=Egress），用 Aho-Corasick 自动机匹配危险模板。

l轻量分类器：用一个参数量级在千万级的小模型对轨迹做二分类。

实测参考：业界已有基于约 3300 万参数、约 22MB 的轻量分类器实现，单次推理延迟低于 30ms，可在网关侧实时运行；在 AgentShield 的 537 条基准用例上取得可用表现。这类小模型的工程价值在于可部署在数据面，不依赖外部大模型服务。（因来源单一，此处仅作量级参考，不代表行业均值。）

（三）L3 语义深度分析：四维系统化分析

L3 是本报告的技术核心。参考 ICML 2026 的 DeAction 工作与 MisActBench 基准（arXiv:2602.08995），一套完整的轨迹意图分析应覆盖四个维度：

表 5-1　轨迹意图分析的四维系统化框架

维度	名称	分析内容	检测目标
D1	Injection Analysis	检查上下文流入内容是否含注入意图	识别外部内容中的隐藏指令
D2	Action Understanding	理解每一步动作的真实语义与副作用	识破\"合法外观、非法实质\"的动作
D3	Outcome Prediction	预测当前轨迹的最终后果	在造成损害前拦截
D4	Misalignment Analysis	比对轨迹与任务目标的语义一致性	捕捉目标漂移

DeAction & MisActBench, arXiv:2602.08995, ICML 2026。该工作提出两级检测管线（Fast Check + Systematic Analysis），报告在其基准上将攻击成功率（ASR）降低超过 90%，F1 提升超过 15%，延迟开销约 25%。

D1 注入分析：检测外部输入（网页、文档、工具返回）中是否包含试图改写 Agent 目标的指令。技术上可用困惑度（Perplexity）异常检测、专用分类器（如 Llama Guard 类模型）、或专用基准（AgentShield）评估。

D2 动作理解：这一步的难点在于动作的双重语义。同一个 HTTP POST 调用，在\"提交表单\"任务中是正常的，在\"汇总报表\"任务中是异常的。因此 D2 必须结合任务上下文判断，而非孤立分析动作。

D3 后果预测：这是最前沿的维度，思路是\"在轨迹早期预测其终局\"。ICML 2026 的 Goal-Drift Probes 工作在 Qwen2.5-7B 的 ReAct Agent 上验证了这一思路——通过探针（probe）监测隐层状态，可实现 AUC 0.989 的目标漂移检测，并能提前三步预测任务失败。

Goal-Drift Probes, ICML 2026。实验基于 Qwen2.5-7B 的 ReAct agent，报告 AUC 0.989。该结果依赖模型隐层可访问，属于白盒场景。

D4 错位分析：将轨迹的语义摘要与任务原始目标做对齐评分。实现上可用\"轨迹→自然语言摘要→与目标的语义相似度\"或\"直接让 LLM 判断轨迹是否在完成目标\"。学术界亦有 Constitutional Black-Box Monitoring（ICML 2026）等黑盒方案，通过宪法式规则集对 Agent 行为做无侵入监控。

（四）黑盒检测：当推理轨迹不可得时的替代方案

多数企业面对的现实是：Agent 由第三方提供，内部推理不可见。此时需要黑盒检测方案：

表 5-2　黑盒检测的可用信号源与局限

信号源	可推断的意图信息	局限
输入输出文本	任务目标、上下文注入痕迹	无法看到内部规划
工具调用序列	行为模式、目标推进方向	需要足够的序列长度
资源消耗曲线	任务复杂度、异常活动	噪声大
网络流量	外联意图、数据流方向	加密流量受限
响应时延模式	推理深度变化（可能被劫持）	需基线支撑

黑盒方案的核心是\"行为序列反推意图\"——用 D2+D4 的组合，从外部可见的动作序列中重建 Agent 的目标函数近似，再与声明的任务目标比对。

工程建议：优先推动 Agent 框架开放推理轨迹（至少开放规划输出与工具调用理由）。可观测性的投入回报远高于纯黑盒检测的算法优化——能看到意图，就不需要猜意图。

六、数据面与可观测性治理

检测能力建立在数据之上。本章讨论支撑双基线与四级管线的数据底座：先给出 OpenTelemetry GenAI 语义约定这一事实标准及其基线用途，再对比主流可观测性平台的适配度，最后梳理运行时拦截的技术选型——检测与处置共同构成闭环。

（一）OpenTelemetry GenAI 语义约定

要建立基线，先要有数据。2025—2026 年，OpenTelemetry 的 GenAI 语义约定已成为事实标准，它定义了 LLM／Agent 调用的标准属性：

表 6-1　OpenTelemetry GenAI 核心语义属性及基线用途

属性	含义	基线用途
gen\_ai.system	模型／系统提供方	归因到具体 Agent
gen\_ai.request.model	请求的模型	检测模型替换（可能被降级到弱对齐模型）
gen\_ai.usage.input\_tokens	输入 token 数	检测上下文膨胀（可能被注入填充）
gen\_ai.usage.output\_tokens	输出 token 数	检测异常长的推理
gen\_ai.operation.name	操作类型	分类统计

落地建议：将 OTel GenAI span 作为 L0 采集层的统一数据源，向上对齐到本报告的轨迹格式。这样做的收益是跨框架兼容——无论 Agent 用 LangChain、LangGraph 还是自研框架，只要接入 OTel，基线引擎就能统一消费。

（二）可观测性平台选型对比

表 6-2　主流可观测性平台在智能体场景的适配度对比

平台	定位	智能体场景适配度	备注
LangSmith	LangChain 生态原生追踪	高（深度集成）	生态绑定较强
Langfuse	开源 LLM 可观测性	高（支持 OTel）	可自部署，适合敏感场景
Arize Phoenix	开源 LLM 评估与追踪	中高	强在评估能力
Braintrust	评估与实验管理	中	偏研发侧
通用 APM（现有 SIEM 生态）	传统可观测性	中（需扩展语义层）	优势是与现有 SOC 打通

选型原则：不要在\"Agent 专用平台\"与\"现有 SOC 体系\"之间二选一。正确做法是用 OTel GenAI 约定作为中间层，向下接入 Agent 可观测性平台取数据，向上把检测结果以标准格式（如 OCSF）送入 SIEM，实现\"Agent 检测能力\"与\"企业安全运营\"的融合。

（三）运行时拦截的技术底座

检测之外，还需要处置能力。运行时拦截的技术选项：

表 6-3　运行时拦截技术对比

技术	粒度	优点	局限
eBPF	系统调用级	内核级、低开销、难以绕过	需要内核版本支持
seccomp	系统调用过滤	简单、成熟	粒度粗（按 syscall 号）
AppArmor／SELinux	路径／标签级	策略表达力强	配置复杂
容器沙箱	进程级	隔离性强	影响 Agent 能力
工具代理（Tool Proxy）	工具调用级	语义感知、易实现分级	依赖 Agent 走代理

推荐组合：工具代理为主 + eBPF 兜底。工具代理（如 MCP Gateway）能在语义层做细粒度策略（\"允许读数据库，禁止读 + 外发组合\"），而 eBPF 兜底防止 Agent 绕过代理直接发起系统调用。这一组合对应了 CVE-2026-55607（Claude Code 沙箱逃逸）暴露的风险——仅靠沙箱隔离不足够，必须有系统调用级的兜底观测与拦截。

七、落地框架：四阶段路线图

技术方案的价值最终取决于能否落地。本章给出经过工程验证的四阶段成熟度模型，并逐阶段拆解核心任务与量化准入指标，重点说明为什么\"影子模式\"是不可跳过的必经环节。

（一）成熟度模型

表 7-1　智能体行为基线能力的四阶段成熟度模型

阶段	名称	周期	核心任务	准入指标
M0	资产测绘	第 1—2 周	盘点 Agent 资产、工具授权、数据域	Agent 清单完整率 100%
M1	影子观测	第 3—6 周	只记录不告警，积累基线数据	每 Agent 样本量 ≥ 1 万次调用
M2	告警上线	第 7—10 周	开启告警，人工复核，调优阈值	误报率 < 5%
M3	自动处置	第 11 周起	分级自动响应，闭环运营	阻断准确率 > 95%

为什么必须经过影子模式：在基线未收敛时开启阻断，会把大量正常任务拦下来，直接导致业务方拒绝使用该能力。影子模式是新安全能力落地的社会契约——先让业务方看到\"系统只观察、不打扰\"，建立信任后再逐步升级处置权限。

（二）M0 资产测绘：所有工作的前提

表 7-2　M0 阶段资产测绘对象与采集内容

测绘对象	采集内容	工具／方法
Agent 资产	数量、框架、部署位置、负责人	CMDB、容器编排清单
工具授权	每个 Agent 可调用的工具／MCP Server	配置审计、MCP Gateway 日志
数据域	可访问的数据源与权限粒度	数据权限系统联动
外联端点	允许访问的外部域名／IP	网络策略、出口网关日志
通信拓扑	Agent 间调用关系	调用链追踪

M0 的交付物是能力基线的初稿，它是后续所有检测的基础。

（三）M1 影子观测：基线收敛

此阶段的关键是采集足够多样的任务样本。实践中常犯的错误是：只采集了单一类型任务的样本，导致基线过窄。建议做法：

l按任务类型分层采样，确保每类任务有足够样本。

l记录被拒绝的调用（在观察模式下不阻断，但记录\"本应阻断\"）。

l建立基线的可视化看板，让安全团队直观看到\"正常\"的形态。

（四）M2—M3 告警与处置

开启告警后，核心工作是阈值调优与分级处置策略：

表 7-3　分级处置策略与响应时间要求

检测结果	处置动作	响应时间
提示注入疑似（低置信）	记录 + 增强日志	事后
意图偏差（中置信）	降权（禁止高危工具）+ 人工复核	分钟级
危险子序列命中	沙箱隔离 + 人工介入	秒级
越权 + 行为异常（高危）	立即阻断 + 回滚 + 应急响应	实时

八、学术与工业方案对照

本章将前述方法论与前沿方案对照，先横向对比学术与工业界的主流技术路线及其优劣，再给出方法选择的决策树，帮助读者根据自身可观测性条件（白盒／黑盒、单 Agent／多 Agent）选择适配的技术组合。

（一）主流技术路线对比

表 8-1　主流技术路线对比

方案	类型	核心机制	优势	局限
MisActBench／DeAction	学术	两级管线 + 四维分析	系统完整、指标可验证	需推理可见
Goal-Drift Probes	学术	隐层探针监测漂移	提前预警、AUC 高	白盒依赖、模型特定
Constitutional Black-Box Monitoring	学术	宪法规则黑盒监控	无需模型内部访问	规则维护成本
AcMAS（复旦团队）	学术	多 Agent 系统行为分析	覆盖多 Agent 场景	尚在演进
ABA（Exabeam 等）	工业	UEBA 迁移 + session 建模	与 SIEM 融合	短生命周期 Agent 缺口
轻量分类器网关方案	工业	小模型实时分类	低延迟、可数据面部署	语义深度有限
MCP Gateway／工具代理	工业	语义层策略拦截	细粒度、易落地	依赖 Agent 走代理

（二）方法选择的决策树

九、真实事件与基线突破复盘

理论分析需要真实事件验证。本章梳理 2026 年公开的智能体安全关键事件，逐条标注其对应的基线突破点，并复盘这些事件为何能绕过传统检测体系。

（一）事件时间线（2026）

表 9-1　2026 年智能体安全关键事件与基线突破点

时间	事件	基线突破点	启示
2026-02	ClawHavoc 事件	工具链供应链	工具本身可能被投毒，需校验工具来源
2026	CVE-2026-55607	Claude Code 沙箱逃逸	沙箱隔离不足，需 syscall 级兜底
2026	CVE-2026-21852	MCP RCE	MCP Server 成为新攻击面
2026	Miasma 蠕虫	影响 73 个 GitHub 仓库	供应链传播速度极快
2026	TrustFall 披露	信任传递链被利用	多 Agent 信任模型需建模

溯源说明：上述 CVE 编号与事件名称来自 2026 年公开披露渠道。其中 Miasma 蠕虫影响的仓库数量（73 个）为披露时的统计值，可能随后续披露变化。建议在正式对外引用前复核 CVE 官方数据库的最新状态。

（二）复盘：这些事件为何能绕过传统检测

以 CVE-2026-55607（沙箱逃逸）为例，攻击链的关键在于：每一步操作在系统调用层面都看似合法。Agent 执行的是正常的文件读写与网络请求，只是组合起来实现了逃逸。这再次印证本报告的核心论点——单点检测对智能体攻击系统性失效，必须做序列级与意图级分析。

十、结论与未来优化方向

本章收束全文：先提炼四项核心结论，再给出未来技术演进方向，最后面向安全负责人给出可直接执行的行动建议。

（一）核心结论

1.基线的对象必须重定义。智能体场景下的\"正常\"是授权学概念，不是统计学概念。只有同时建模\"能力边界\"（静态）与\"行为分布\"（动态），才能在宽谱行为下维持可用的检测精度。

2.意图偏差是序列级威胁，检测必须分级。L1 快速过滤承载 95% 流量保证性能，L2 序列检测抓住危险子序列，L3 语义分析处理高价值可疑轨迹。这一架构能在召回、误报、延迟三角中取得工程可接受的平衡。

3.落地必须走\"影子模式→分级处置\"路线。任何跳过影子模式直接阻断的方案，都会因基线未成熟而误伤业务，最终被业务方拒绝。M0—M3 的四阶段路线图给出了可执行的准入指标。

4.可观测性是前提，而非可选项。推动 Agent 框架开放推理轨迹的投入回报，远高于纯黑盒检测的算法优化。

（二）未来优化方向

表 10-1　未来优化方向与路径

方向	当前局限	优化路径
意图的可观测性	推理轨迹多数不可见	推动标准化推理输出协议（如扩展 OTel GenAI 约定）
多 Agent 场景	信任链建模尚不成熟	建立跨 Agent 的联合基线，检测信任传递滥用
基线漂移 vs 偏差	二者区分依赖人工阈值	引入因果推断，区分\"合法演进\"与\"被诱导偏离\"
对抗鲁棒性	攻击者可针对检测器优化	检测器多样化 + 随机化，避免单点被绕过
成本控制	L3 语义分析昂贵	蒸馏小模型替代部分 LLM-as-Judge 场景
跨组织基线共享	各自为战，样本不足	行业威胁情报共享（匿名化轨迹特征）

（三）给安全负责人的三条行动建议

1.先做 M0 资产测绘，别急着上检测。没有 Agent 清单与授权清单，一切检测都是空中楼阁。这一步的投入通常被低估，但它决定了后续所有工作的上限。

2.优先解决\"工具代理\"这一层。MCP Gateway／工具代理是当前投入产出比最高的落地点——它既是细粒度策略的执行点，也是高质量数据的采集点。

3.把\"意图偏差检测\"定位为长期能力，而非一次性项目。基线的价值随时间增长，前两周的目标是\"不误伤\"，而非\"抓得多\"。

附录 A：术语表

表 A-1　术语表

术语	英文	定义
智能体	Agent	具备自主规划与工具调用能力的大模型应用
行为基线	Behavioral Baseline	Agent 行为的统计分布参照
能力基线	Capability Baseline	Agent 的授权边界声明
意图偏差	Intent Drift	执行轨迹偏离任务目标或授权语义
轨迹	Trajectory	Agent 完成任务的完整动作序列
ABA	Agent Behavior Analytics	面向智能体的行为分析
TICD	Trajectory Intent Consistency Detection	轨迹意图一致性检测
MCP	Model Context Protocol	模型上下文协议，Agent 工具接入标准

附录 B：核心参考来源

表 B-1　核心参考来源清单

编号	来源	类型	引用内容
1	CSA, Agentic SOC: The Behavioral Baseline Gap	白皮书	意图漂移为序列级威胁
2	OWASP, Top 10 for Agentic Applications 2026	标准	ASI01—ASI10
3	DeAction & MisActBench, arXiv:2602.08995, ICML 2026	论文	两级管线、四维分析、ASR 降低 >90%
4	Goal-Drift Probes, ICML 2026	论文	AUC 0.989、提前三步预测
5	Constitutional Black-Box Monitoring, ICML 2026	论文	黑盒宪法式监控
6	MITRE ATLAS v5.1.0	框架	Agent TTP 映射
7	OpenTelemetry GenAI Semantic Conventions	标准	gen\_ai.\* 语义属性
8	2026 年公开 CVE 披露（CVE-2026-55607 / 21852 等）	事件	沙箱逃逸、MCP RCE