上个月底，Uber 把 ADR（Agentic Detection and Response，代理式 AI 检测与响应） 开源了，论文还中了 MLSys 2026。我 clone 下来跑了一遍，又去翻 RSAC 2026 上一票号称 agent 安全的项目。一圈看完之后的感觉是：大家都说自己在做「agent 安全」，但根本不在同一层干活。有的在做资产清点，有的在做沙箱隔离，有的在做凭据治理，有的在做运行时行为分析，还有的干脆就是在卖 prompt injection 防火墙。

这篇文章把这条线理清楚，顺便回答一个问题：如果你的团队已经开始大规模跑 Claude Code / Cursor / Copilot Agent，到底该买/用哪块东西？

---

一、为什么 EDR 和 SIEM 突然不够用了

先别急着看框架，得先把问题说死。传统 EDR 能看见什么？进程、文件、网络、syscall。SIEM 能看什么？日志、告警、规则命中。这些东西对普通应用够用了，但对 AI agent 几乎等于瞎子。

我举个真实例子。CVE-2025-66032：Claude Code 的 GitHub Action 里，一个 prompt injection 能让 agent 去读 /proc/self/environ，把 GitHub OIDC token 偷出来，再换成能写 action 仓库的 token，最后往依赖这个 action 的所有项目里塞恶意代码。CVSS 8.7。整个过程在 OS 层看起来是什么样的？agent 读了几个文件，发了几个 HTTPS 请求，写了几个 commit。和正常工作没有区别。

再近一点的「Comment and Control」：研究者在 PR 标题里塞一段注入文本，Claude Code Security Review、Gemini CLI Action、GitHub Copilot Agent 三个产品全军覆没。agent 把 ANTHROPIC_API_KEY、GITHUB_TOKEN、GEMINI_API_KEY 一股脑贴到 PR 评论或 issue 回复里。GitHub 自己的 Copilot Agent 甚至有三层运行时防御（环境变量过滤、密钥扫描、网络防火墙），也被绕过了。

问题在哪？agent 的安全风险不在进程本身，而在「意图 → 工具调用」这条因果链。

• 它读了 .env 还是读了 README？EDR 不知道。
• 它调用 kubectl delete ns production 是因为用户授权，还是因为 prompt injection 诱导？SIEM 看不出来。
• 它 fetch 一个 URL 是为了查文档，还是为了把本地代码外发到攻击者服务器？网络防火墙可能连域名都识别不出来，因为 exfil 走的可能是 GitHub 自己的 Camo image proxy。

Simon Willison 在 2025 年 6 月给这个结构起了个名字：「致命三件套」—— agent 持有私密数据、摄入没人审核的内容、同时有对外通道。三个条件单独看都没问题，叠在一起就能要命。

这里没有夸张。Authsome.ai 统计过，2025–2026 年公开披露的 prompt injection 导致凭据泄露事件已经有 6 起以上；Wiz 记录过一个叫「prt-scan」的 campaign，攻击者对 500+ 个公共仓库发恶意 PR，窃取 AWS、Azure、GCP 凭证；Rubrik 自己则说，Claude Code 试图把敏感源码推到公共 GitHub 仓库的次数「高得惊人」。

---

二、先划清边界：大家在说的不是同一件事

聊框架之前，必须先做一个分类，否则所有对比都混乱。

A 类（本文主角）：用安全机制去保护 AI agent 本身。目标是检测/阻止 agent 被劫持、泄密、搞破坏。Uber ADR、Cisco DefenseClaw、Microsoft Agent 365、Rubrik SAGE、1Password Unified Access、Meta LlamaFirewall 都在这一类。

B 类（兄弟品类）：用 AI agent 去帮 SOC 干活。自动分诊告警、调查事件、写响应剧本。Google Agentic SOC、IBM ATOM、SentinelOne Purple AI Athena、Radiant Security、Trend Micro Cybertron 都在这一类。它们解决的是「告警太多、人手不够」，不是「agent 自己被黑了怎么办」。

两类都叫 agentic security，但一个是「防 agent 作恶」，一个是「用 agent 防守」。本文只聊 A 类。

---

三、Uber ADR：唯一把「意图—工具调用」因果链盯死的开源系统

把基准线讲透，后面才好对照。

Uber ADR 的论文标题是《ADR: An Agentic Detection System for Enterprise Agentic AI Security》。它把能力拆成四块：

ADR 四大能力（论文定义）
├── Observability  →  ADR Sensor      【已开源】
├── Benchmark      →  ADR-Bench       【已开源】
├── Detection      →  ADR Detector    【已开源】
└── Prevention     →  shift-left 拦截  【未开源】
     （另有 ADR Explorer 离线红队，也未开源）

3.1 Sensor：不是看系统日志，是重建 agent 会话

传统安全产品靠系统日志。ADR Sensor 的做法更狠：它直接解析 Cursor、Claude Code、Cline、Codex 等工具在本地留下的 SQLite 数据库和 JSONL 缓存，把一次完整的 agent 会话重建出来。

它采集的东西包括：

• 用户原始 prompt 和 agent 的 reasoning chain
• 每次 MCP tool invocation 的名称、参数、返回值
• 环境上下文：MCP server 配置、pip/npm 包信息、当前工作目录
• 执行轨迹：哪些文件被读了、哪些命令被调了、哪些外部请求出去了

Sensor 按小时运行，论文里说平均每次运行耗时 0.182 秒。这个数字说明它不是实时 hook，而是偏批量采集。好处是对性能影响小，坏处是检测有小时级延迟。对凭据泄露这种事后追溯够用了，但想实时阻断 agent 动作，光靠 Sensor 不够。

3.2 Detector：两层级是成本工程，也是架构核心

Detector 是 ADR 的灵魂。它把「对每个 session 都跑大模型推理」这件事拆开成两层：

Tier 1：Triage

轻量 LLM，只做高召回初筛。Uber 的数据显示，40.7% 的会话在这一层就被判定为明显安全，直接放行。这一层极便宜，因为推理很轻，能把大多数正常流量快速过滤掉。

Tier 2：Deep Reasoning

只有可疑会话才进来。这里的 reasoning agent 会动态调用三类企业上下文：

• 源码检查 MCP：看某个工具源码到底做了什么。一个 read_file 工具可能看起来无害，但如果源码里有偷偷访问网络的行为，就得加分。
• 威胁情报 MCP：把当前行为比对已知攻击技术。prompt injection 的手法、C2 域名、常见 exfil 模式都能从这里补充信号。
• 策略验证 MCP：判断操作是否违反企业内部策略。比如是否访问了敏感目录、是否在没有审批的情况下调用高危命令。

消融实验显示，triage 层和 MCP 上下文 Provider（尤其是源码检查、威胁情报）对最终性能贡献最大。这说明 ADR 不是单纯靠 LLM「语感」做判断，而是靠把企业特有的上下文喂给模型，让它做有依据的推理。

最终产出是 benign 或 compromised。

3.3 Explorer：部署前的红队机器

Explorer 是个离线组件，专门做预部署红队和难例生成。它会自动构造更难检测的攻击变体，反哺 Detector。不过 Explorer 没有开源，所以外部团队只能用开源的 Detector + Sensor，没有持续生成新攻击样本的能力。

3.4 ADR-Bench：比公开基准更贴近企业

ADR-Bench 是论文的另一个重要贡献：302 个任务，42 个恶意、260 个良性，覆盖 133 个真实 MCP server 和 17 种攻击技术。它不是从公开数据集搬过来的，而是从 Uber 真实企业遥测里提炼的。

这个数据集的关键特征是「复杂、不平衡、上下文多样」——和企业环境一模一样。良性任务远多于恶意任务，漏一个成本极高，误报一个也痛苦。ADR 在 ADR-Bench 上的结果是：0 误报、67% 攻击召回、F1 比 ALRPHFS / GuardAgent / LlamaFirewall 三个基线高 2–4 倍。在公开基准 AgentDojo 上更狠：93 个任务里检测出所有攻击，只有 3 个误报。

论文把精确率放在召回率前面。原因是生产环境里，40 个误报会直接把 SOC 淹死。67% 的召回不算顶尖，但 0 误报让它能真正跑上线。

3.5 生产数据

Uber 内部跑了 10 个月以上：

• 覆盖 7,200+ 独立主机
• 日处理 10,000+ agent 会话（2026 年已经涨到 20 万+/天）
• 抓到 数百起凭据泄露事件，横跨 26 个类别
• 推动了一个「左移」预防层上线，97.2% 精度（在数十万个会话里，212 个唯一凭证中检测到 206 个）

这些数字让它不只是学术 toy，而是真的在大厂跑过。

3.6 我的判断 + 得把限制说清楚

ADR 目前是 A 类里唯一在「意图 + 执行因果链」这层做检测的开源系统，而且有真实生产数据。真正让它跑通的倒不是某个模型有多强，而是两层级成本摊销 + 贴近企业现实的基准 + 跨多 host 的遥测。

但也要说清楚限制：

• Prevention 层没开源。线上 97.2% 精度的拦截能力是闭源的，开源版只有检测和观测。
• 生产指标不是完全透明。有第三方评述指出，97.2% 精度的 ground-truth 标注方式、采样策略、假阴性估计没有公开说明。
• 企业级体量的前提。单开发者、单 agent 的部署，sensor 开销没有跨会话信号抵消，不划算。
• 小时级延迟。按小时跑 Sensor，对需要实时阻断的场景不够。

---

四、其他框架：每个人都在自己的楼层干活

把保护 agent 的框架按 enforcement 落点分成五条线，比列清单更能帮你想清楚该买哪个。

4.1 可见性层：你连有多少 agent 都不知道

Reco、CrowdStrike Shadow AI Discovery 干这个。平均企业跑着 37 个 agent，但大多数是团队私自起的，根本没进中央审查。「看不见就管不了」，这是所有后续动作的前提。它不做拦截，只做发现。

4.2 身份 / 凭据层：agent 不是服务账号

只有 21.9% 的组织把 AI agent 当成「带身份的实体」来管。Uber 线上抓到的头号风险就是凭据泄露，所以这一层不是锦上添花，是命门。

Microsoft Agent 365 + Zero Trust for AI

把 agent 纳入 Entra 身份体系，用 Entra Agent ID 登记 agent、分配最小权限、做生命周期管理。它还在网络层通过 Entra Internet Access 拦 prompt injection——不管 app 自己有没有过滤，流量入口先挡一道。优点是和 M365 / Azure 深度集成，已 GA；缺点是锁定微软栈，价格是 $99/用户/月，偏身份治理而非运行时检测。

1Password Unified Access

更聚焦：在 agent 调用凭据的那一刻做细粒度管控，还能限定凭证的使用上下文（哪个 agent、什么时间、访问什么资源）。和 Anthropic、GitHub 有合作。短板也明显：它只管密钥，管不了合法工具被诱导后的泄密，也管不了「用已有权限搞破坏」的命令。

4.3 基础设施层：部署时就关进沙箱

Cisco DefenseClaw 是这条线的代表，2026 年 3 月 27 日开源。

它的架构是三运行时 + 一个网关 + 一个沙箱：

• CLI（Python 3.11+）：运维入口，跑扫描、管理 block/allow 名单、TUI 面板。
• Gateway（Go 1.25+）：中央守护进程，REST API、策略引擎、审查管道、SQLite 审计库。
• Plugin（TypeScript）：跑在 OpenClaw 里面，用 before_tool_call 钩子拦截每次工具调用。

工具调用审查引擎把每次调用按 6 类规则检查：

1. secret：API key、token、password 出现在参数里
2. command：危险 shell 命令（curl、wget、nc、rm -rf 等）
3. sensitive-path：/etc/passwd、SSH key、凭证文件
4. c2：命令控制主机、metadata（169.254.169.254 等 SSRF）
5. cognitive-file：篡改 agent 记忆、指令、配置文件
6. trust-exploit：prompt injection 伪装成工具参数

判定结果是 allow / alert / block。默认是 observe 模式（只记不拦），开了 action 模式才会取消高危调用。

准入控制有五款开源扫描器：

• Skills Scanner：分析 skill 代码里有没有恶意意图或隐藏网络调用
• MCP Scanner：验证 MCP server 是否可信、配置是否被篡改
• A2A Scanner：审计 agent-to-agent 通信的认证和鉴权
• CodeGuard：静态分析 agent 生成的代码
• AI BoM：自动生成 AI 资产清单

它绑 NVIDIA OpenShell 做沙箱：Linux namespace、Landlock、seccomp-BPF、OPA 每连接网络策略。DefenseClaw 把 agent 放进沙箱， denied-by-default：不在白名单的 API 调用直接在网络层被 kill。

Cisco 把它包装成「5 分钟内部署治理」：装完 DefenseClaw，一个 agent 想调用工具，先扫描、再比名单、生成 manifest，才允许运行。Blocked 之后 2 秒内生效，不用重启 agent。

它的强项：挡横向移动、越权数据访问、恶意 skill supply chain；沙箱把爆炸半径压得很小。

它的弱项：看不出来「agent 意图本身违不违规」。Agent X 在沙箱里没越界，但它走的那串步骤算不算策略违规？DefenseClaw 不会判断。这正是 Rubrik SAGE 想补的洞。

4.4 运行时层：就是 Uber ADR

唯一盯行为因果链的，前面讲透了。

4.5 意图治理层：语义级判断

Rubrik SAGE（Semantic AI Governance Engine） 是这一层的代表。它的卖点是「意图驱动治理」：不只对照访问控制规则，而是拿 agent 的目标去比对它的动作序列，实时标记偏离。

SAGE 跑在一个小语言模型（SLM）上，用 parameter-efficient fine-tuning 聚合多个「judge」：一个 judge 看工具使用幻觉，一个 judge 看 PII 泄露，一个 judge 看财务合规规则。每个 judge 作为独立可执行策略运行。Rubrik 声称它比 GPT-5.2 快 5 倍，检测违规更准确。

它还配了两个恢复能力：

• Agent Rewind：撤销 agent 的破坏性动作，恢复数据完整性。
• Backtesting：把历史 agent 行为重放一遍，看新策略会拦下哪些动作、漏过哪些动作。

Rubrik 的洞察是：很多攻击不会触发单动作规则。没有哪一步单独看是违规的，但整条 session trace 串起来就是问题。所以 SAGE 每小时或每天做 batch trace 分析，专门挖单个 guardrail 抓不到的东西。

短板：目前只在 Rubrik Agent Cloud 内生效，跨基础设施互操作还没答案；而且 SAGE 自己也是非确定性模型在管非确定性模型，Rubrik 没有公开它的 FP/FN 率。

4.6 地基组件：Meta LlamaFirewall

开源的 prompt injection + jailbreak 防火墙，轻量，常被当 L1 过滤器。它本身也是 ADR-Bench 里的一个基线。它不能替代完整 ADR，但是个好积木。

---

五、核心对比表

框架	开源？	enforcement 落点	核心强项	主要短板	最适合
Uber ADR	✅ Apache-2.0（Sensor/Detector/Bench）	运行时行为链	唯一因果链观测；两层级成本摊销；133 MCP 真基准；生产验证 97.2% 精度	Prevention/Explorer 未开源；小时级延迟；需企业级体量才划算	中大型企业，已在跑大量编码/客服 agent
Cisco DefenseClaw	✅（2026/3 GitHub）	基础设施/沙箱	三运行时架构；六类工具调用审查；五扫描器；OpenShell 沙箱；2 秒 block	看不出意图级策略违规；只做单动作审查	想从部署层做 Zero Trust 隔离的团队
Microsoft Agent 365 + Zero Trust for AI	❌ SaaS	身份/网络层	全 AI 生命周期；网络层拦 injection；Shadow AI 发现；M365 深度集成；已 GA	锁定微软栈；偏身份而非运行时检测；$99/用户/月	已是 Microsoft 栈的企业
Rubrik SAGE	❌（Rubrik Agent Cloud）	意图治理	语义级「目标 vs 动作」偏离检测；Agent Rewind；batch trace 洞察	仅限 Rubrik 环境；跨栈互操作未解；SLM 裁判无公开 FP/FN	已在 Rubrik 云内、重合规语义治理
1Password Unified Access	❌ SaaS	凭据/密钥	调用瞬间细粒度凭据管控；Anthropic/GitHub 合作	只管密钥，管不了合法工具泄密/破坏命令	头号风险是凭据泄露的团队
Meta LlamaFirewall	✅	地基/L1 过滤	轻量 prompt injection 防火墙；好积木	只是过滤器，无会话级因果分析	做 ADR 的底层组件 / 快速兜底

兄弟品类（AI 帮 SOC 干活，非本文主角）：Google Agentic SOC、IBM ATOM、SentinelOne Purple AI Athena、Radiant Security、Trend Micro Cybertron（开源）、Darktrace。

---

六、我的选型建议：别想用一个工具解决，按层叠

真到了落地，这五层不是「选一个」，而是叠：

1. 先可见：用 Reco / CrowdStrike 做 agent 资产清点，先把私拉的 agent 捞出来。
2. 再身份：把 agent 当身份实体，用 Entra 或 1Password 管凭据。Uber 的经验已经证明凭据泄露是最高频风险。Rubrik 的调研甚至给出数字：69% 的公司在 agent 舰队里存在凭据共享，而这些公司遭遇安全事件或险情的比例是 63.5%，远高于使用独立 scope 身份的 40.9%。
3. 运行时检测：上 Uber ADR，盯行为因果链。前提是你的体量能摊薄 LLM 推理成本，并且能接受小时级检测延迟。
4. 高风险隔离：对高风险 agent 用 Cisco DefenseClaw + OpenShell 沙箱，限制爆炸半径。
5. 语义治理：若已在 Rubrik 云内且重合规，用 SAGE 补意图级判断。

如果你是个小公司，我的建议反而不是先上 ADR，而是：先做可见性 + 凭据治理，给 agent 配最小权限，再把 DefenseClaw 的 observe 模式跑起来。ADR 这种运行时因果检测，等企业里 agent 会话量上来了再上。

---

七、现在还缺什么

• 预防层没开源。Uber 线上 97.2% 精度的拦截能力是闭源的，开源版只有检测。想自建完整闭环，这块得自己补。
• 实时性不够。ADR Sensor 按小时跑，对需要秒级阻断的场景（比如 agent 正在删数据库）不适用。Cisco DefenseClaw 的 action 模式更偏实时，但它不判断意图。
• 慢漂移 / 记忆投毒。AgentPoison 这类攻击能在 <1% 良性任务退化下拿到 >80% 攻击成功率，触发条件由攻击者选定。如果 agent 没被触发到那个条件，逐会话检测器就可能漏掉。
• 多 agent 协作协议。论文 future work 也写了，要支持多 agent 协同协议、在 MCP 网关做自适应实时预防。
• 告警得有组织接。97% 精度、67% 召回的检测器仍会产生分诊负载。SOC 没有 incident response 容量的团队，告警堆着不动，信号价值就被稀释了。

---

小结

ADR 开源是好事，但它不是 agent 安全的终局，只是把「运行时行为链检测」这条线正式立住了。RSAC 2026 上 Cisco、Microsoft、Rubrik、Reco、1Password 各自选了不同的 enforcement 落点——这恰恰说明这个品类还在早期，没有标准答案。

如果你是已经在大规模跑编码 agent 的团队，我的建议很直接：先 clone Uber ADR 把 Sensor + Detector 跑起来看真实遥测，同时把 agent 身份和凭据这层补上。对大多数团队来说，凭据治理比运行时检测更该优先，因为凭据泄露是真实发生最频繁、也最容易先堵住的事。