2026年5月，Hacker News上一条新闻引发了开发者社区的广泛关注：一位用户的AI Agent在扫描DN42网络时意外"破产"了运营商。几乎同一时间，Fedora社区报告了多起AI Agent失控事件——Agent在缺乏约束的情况下执行了危险的系统命令，导致环境受损。

这些事件揭示了一个严峻的现实：当AI Agent被赋予执行权限后，它们的能力与风险是一枚硬币的两面。更令人警醒的是，一条仅€0.01的银行转账就可能危及银行AI Agent的安全。AI Agent安全问题，已经从理论讨论进入了真实的攻防战场。

幸运的是，开源社区迅速做出了反应。Kintsugi（本地优先的安全网）和 Policy Gate（策略预检工具）这两个项目应运而生。本文将从安全风险分析入手，带你一步步完成这两个工具的部署与配置，构建多层Agent安全防护体系。

一、AI Agent面临的安全风险全景

在开始动手配置之前，我们先梳理AI Agent面临的主要安全风险类型：

🔴 风险一：命令注入与越权执行

Agent在执行Shell命令时，如果缺乏约束，可能被恶意prompt诱导执行 rm -rf、sudo 提权、修改系统配置等危险操作。这是最常见的Agent安全事故类型。

🔴 风险二：数据泄露

Agent可能将敏感文件内容（如API Key、数据库密码、源代码中的密钥）发送到外部API。2026年4月已有研究员演示了通过prompt注入从编码Agent中提取GitHub Token的攻击。

🔴 风险三：资源滥用

缺乏配额控制的Agent可能消耗大量API调用额度或计算资源，导致"意外破产"——这正是5月那起事故的根本原因。

🔴 风险四：供应链攻击

Agent自动安装的第三方依赖可能包含恶意代码。一个"帮忙装个包"的简单请求，可能不经意间引入了后门。

面对这些风险，单纯依赖Agent自身的安全机制远远不够。我们需要建立多层防护：本地安全网（Kintsugi）负责运行时监控与拦截，策略预检（Policy Gate）负责执行前的安全检查，两者形成纵深防御。

二、Kintsugi：本地优先的AI Agent安全网

Kintsugi 是一个"本地优先的安全网"（local-first safety net），它的名字来源于日本的金缮修复艺术——旨在在受损之前就介入保护。

它的核心理念很简单：在Agent执行任何操作之前，Kintsugi在本地拦截并评估该操作。如果操作超出安全阈值，则拒绝执行并向用户报告。

2.1 安装Kintsugi

# 使用pip安装
pip install kintsugi-agent-safety

# 或者从源码安装
git clone https://github.com/kintsugi-safety/kintsugi.git
cd kintsugi
pip install -e .

2.2 基础配置

Kintsugi 使用YAML配置文件定义安全规则：

# ~/.kintsugi/config.yaml
safety_net:
  filesystem:
    read_allowed:
      - "/home/user/project/**"
      - "/tmp/kintsugi/**"
    write_allowed:
      - "/home/user/project/**"
    block_paths:
      - "/etc/shadow"
      - "/etc/sudoers"
      - "/root/.ssh/**"

  commands:
    allow_list:
      - "git"
      - "npm"
      - "python"
      - "pip"
      - "ls"
      - "cat"
    block_patterns:
      - "rm -rf"
      - "sudo"
      - "chmod 777"
      - "dd"
      - "> /dev"

  network:
    allowed_domains:
      - "api.github.com"
      - "registry.npmjs.org"
      - "pypi.org"
    blocked_domains:
      - "*.malicious.com"
    rate_limit: 10 # 每分钟最大请求数

  alerts:
    log_level: verbose
    notify_on: ["command_blocked", "path_blocked", "rate_limit_exceeded"]

2.3 与Agent集成

Kintsugi 提供了多种集成方式。最推荐的是作为中间件运行——在Agent和操作系统之间插入安全层：

# 以Claude Code为例
claude code --middleware kintsugi

# 或通过环境变量启用
KINTSUGI_ENABLED=true claude code

集成后，每当Agent尝试执行命令、读写文件或发起网络请求时，Kintsugi 都会在本地进行评估。如果操作触发了安全规则，Kintsugi 会立即拦截并弹出警告。

💡 实战建议：

首次启用时，建议先使用 monitor 模式运行一周，观察Agent的日常操作模式。然后再基于日志逐步收紧规则，避免误拦截影响正常工作流。

三、Policy Gate：编码Agent的策略预检工具

如果说Kintsugi是"运行时警察"，那么Policy Gate就是"执行前安检员"。Policy Gate 是一个运行在AI编码Agent工具调用之前的策略检查网关。它专门针对AI编码Agent设计，在Agent发出任何工具调用（读文件、写文件、执行命令）之前进行策略评估。

3.1 安装Policy Gate

Policy Gate 以命令行工具形式运行，可嵌入到各种CI/CD和工作流中：

# 通过npm安装
npm install -g policy-gate

# 验证安装
policy-gate --version

3.2 策略规则配置

Policy Gate 的策略规则使用JSON格式，便于程序化生成和管理：

// .policy-gate/rules.json
{
  "version": "2.0",
  "rules": [
    {
      "id": "no-delete-outside-project",
      "type": "filesystem",
      "action": "deny",
      "match": {
        "operation": "delete",
        "path": { "not_contains": "/workspace/project" }
      },
      "message": "禁止在项目目录外删除文件"
    },
    {
      "id": "safe-commands-only",
      "type": "command",
      "action": "allow",
      "match": {
        "command": {
          "in": ["npm install", "npm test", "git add", "git commit", "python run.py"]
        }
      },
      "fallback": "deny"
    },
    {
      "id": "write-protected-configs",
      "type": "filesystem",
      "action": "deny",
      "match": {
        "operation": "write",
        "path": { "matches": "\\.env$|\\.config\\.json$|docker-compose\\.yml$" }
      },
      "message": "配置文件修改需要人工审批"
    },
    {
      "id": "rate-limit-api-calls",
      "type": "network",
      "action": "warn",
      "match": {
        "rate_per_minute": { "gt": 30 }
      },
      "message": "API调用频率异常，请确认"
    }
  ]
}

3.3 工作模式

Policy Gate 支持三种工作模式：

在实际集成中，Policy Gate 作为 Agent 的"前置代理"运行：

# 作为HTTP代理运行
policy-gate serve --port 8090 --rules .policy-gate/rules.json

# 或者作为命令包装器
policy-gate run -- claude code

四、构建多层Agent安全防护体系

将 Kintsugi 和 Policy Gate 组合使用，可以构建一套完整的纵深防御体系：

第一层：Policy Gate（预检）
Agent发起工具调用 → Policy Gate 检查策略规则 → 通过则放行，拒绝则拦截。这一层在Agent执行操作之前就完成了安全检查，是最早的防线。

第二层：Kintsugi（运行时）
如果Policy Gate放行了请求（或未被集成到该Agent），Kintsugi 在操作系统层面进行二次拦截。它使用更底层的文件系统和网络监控能力，能够捕获绕过第一层检查的漏网之鱼。

第三层：人工审批（兜底）
对于高危操作（删除文件、修改系统配置、提权等），即使通过了前两层检查，仍应触发人工审批流程。Omnigent 等编排工具已经内置了审批机制，可以作为第三道防线。

🔐 推荐配置清单：

1. 所有Agent启用沙箱模式，限定操作目录
2. 使用Kintsugi的monitor模式收集一周基线数据
3. 基于基线数据编写Policy Gate规则，先开audit模式
4. 确认规则无误后，Policy Gate切换为enforce模式
5. Kintsugi启用enforce模式作为二次拦截
6. 配置高危操作的人工审批流程
7. 定期审计日志，持续优化规则

AI Agent的普及是不可逆转的趋势，但安全不能靠信任。通过 Kintsugi 和 Policy Gate 构建的多层防护体系，我们可以在享受Agent效率红利的同时，将安全风险降到可控范围。记住：好的安全策略不是限制能力，而是让能力在安全的轨道上发挥价值。