智能体安全：三层防御架构解析

由Nutanix提供

能够推理、自主决策并在环境中执行行动的自主系统，引入了一类风险，而应用级控制措施从未设计过要应对这类风险。Nutanix产品管理高级总监奥斯卡·瓦尔伯格(Oscar Wahlberg)表示，将这种风险视为单一问题会产生不完整的架构。

“用于捕获恶意提示的保护措施，无法阻止智能体产生幻觉并执行它本不应该执行的操作，比如意外删除数据库或使用被授予的凭据泄露敏感数据，然后将这些凭据用于完全不同的目的，”瓦尔伯格说道。”这是企业将自主智能体从实验阶段推向生产环境时面临的核心问题。”

一旦智能体系统获得在整个数据中心执行操作的权限，安全态势必须扩展为一种防御深度架构，涵盖基础设施、存储、计算、网络和管理控制平面。每一层都应对不同类别的风险，而不是在整个堆栈中重复相同的控制措施。没有任何单一的安全控制或供应商能够单独提供这种保护。防御深度依赖于各层的协同工作。

通过在堆栈中分配责任并遵循零信任分段，组织可以创建一个改善其整体态势的安全框架。理解哪些风险属于每一层，是将防御深度原则转变为实用安全框架的关键，这三层每一层都有不同的责任。

基础设施层：建立智能体运行的可信环境

基础设施层的基本责任是建立信任根基，回答一个简单的问题：谁在环境中运行？这种可信身份成为其上每个安全控制的前提条件。在组织能够信任智能体的行为之前，首先必须信任智能体运行环境的完整性。当智能体请求执行操作的权限时，系统必须能够验证请求来自合法的智能体，而不是冒充它的东西。

提供这种保证依赖于将信任根植于硬件本身的技术，包括平台认证、机密计算和安全启动，以及防止在服务器内部和外部未经授权访问的控制措施。对于金融服务业等受监管行业，这一层提供隔离AI生产工作负载的能力，确保智能体和环境都不会在其分配范围外运行。这有助于降低模型和运行时篡改、供应链受损以及未经授权访问敏感AI工作负载等风险。

网络层：管理智能体间的通信

一旦智能体开始与其他智能体、API、应用程序和企业系统通信，它们会产生传统静态网络配置从未设计处理的并发性和动态通信级别。配置为无限制调用API、查询数据源和启动额外智能体的智能体，会形成一个难以推理的、东西向流量蔓延的网络，当没有适当的网络安全层时，这种复杂性很容易掩盖横向移动或数据外泄。

“我们应该将AI智能体视为网络身份的新类别，确保智能体只能与明确允许其通信的其他智能体或数据源通信，”瓦尔伯格说。”这意味着要从僵化的静态规则转向动态策略执行。”

Nutanix的解决方案是智能网关(Agent Gateway)，它是Nutanix智能AI解决方案的一部分。这是一个统一的、受治理的层，旨在提供成本控制和治理能力，以帮助管理自主智能体用户。结合基于零信任分段的智能体以及使用Nutanix Flow进行微分段的功能，并与网络供应商(包括其集成到Cisco Secure AI Factory中)的集成，智能网关帮助企业管理智能体、模型、数据源和企业应用程序之间的交互。

网络层管理横向移动、数据外泄，并限制智能体的网络交互。对于智能体而言，默认阻止访问且可扩展交互监控的零信任框架很重要，因为智能体可能表现出不可靠的行为。Nutanix软件与Cisco UCS服务器和Cisco AI POD的集成，为AI工厂运行提供了即用型物理基础设施(计算、存储和网络)。

控制层：管理智能体的权限和行为

控制层是操作的核心，提供管理智能体权限、工具访问、资源消耗和运行时可见性的中央点。最重要的是有一个地方可以一致地执行策略，而不是为每个智能体重新设计，瓦尔伯格说。

“智能网关作为不同模型和工具的通用端点，因此IT团队可以配置其智能体与此单一控制点通信，”他解释道。

集中式AI网关使管理员能够观察、审计和控制对模型以及MCP工具的访问，这些工具保护数据并限制特权访问。这一层旨在帮助降低权限滥用、失控智能体、未经授权的工具使用、数据泄露以及当智能体陷入运行时循环时可能导致令牌消耗过度增加的模型过度消耗等风险。这依赖于将治理视为运行时控制系统，而不是合规性的事后考虑。