Acalvio 推出 Deception Guardrails，但 AI Agent 安全不能只靠诱饵

Acalvio 于 7 月 30 日推出 Deception Guardrails，在传统模型过滤措施被绕过后，为 AI agent 增加了一层新的防御。该项正在申请专利的能力，会在 agent 检查的环境中放置虚假凭据、工具、服务和数据。失控或遭入侵的 agent 在接触这些资产时，便可能在到达生产系统前暴露自身。

这种方法将安全边界从单靠提示词转移开来。Acalvio 不再假定 agent 会遵循其指令，而是假定攻击者可能操纵 agent 或窃取其身份。随后，该公司会改变受入侵系统在运行时所看到的内容。

此次发布将一项老牌网络安全技术用于检验一个更新的问题。传统蜜罐会诱导人类攻击者进入受监控的系统。Acalvio 现在希望借助欺骗性基础设施，误导那些能够推理、调用 API、检索数据，并使用合法凭据采取行动的软件。

其中的核心矛盾十分明确。若某项资产本不应被任何合法流程使用，却有人与其交互，欺骗技术可以发出异常强烈的警报。但它无法保证每一次危险操作都会碰到其中某项资产。

Acalvio 将欺骗技术扩展至 AI Agent 运行时

真正的变化并非又一个内容过滤器。Acalvio 正在 agent 使用工具和凭据的运行环境内部设置检测点。

Acalvio 的 Deception Guardrails 将其 ShadowPlex 平台扩展至 agent 工作流及相邻的 AI 基础设施。该公司公布了四个主要组件：企业级 honeytoken、面向 agent 的 honey skill、诱饵 AI 服务，以及与欺骗性交互关联的实时检测。

honeytoken 是一种专为暴露未授权访问而创建的虚假凭据或数据对象。honey skill 则将同一原则应用于 agent 在读取配置文件时可能发现的工具描述或能力。

Acalvio 表示，它可以将这些工件放置在作为运行上下文使用的文件和配置界面中。如果 agent 尝试调用欺骗性工具或使用虚假凭据，这一交互就会触发警报。

该公司还计划在 AI 部署周边配置诱饵 Model Context Protocol 服务器。MCP 是一种协议，可让模型通过统一接口连接外部工具和数据。Acalvio 列出的目标还包括诱饵检索增强生成系统和虚假 AI agent。

这些资产创造了多种检测机会。受入侵的 agent 可能会枚举可用工具、搜索配置文件、检索凭据、查询知识库或联系另一个 agent。每一步都可能在工作流接触真实资源前暴露恶意行为。

发布公告将这一环境描述为“欺骗性现实”。这个说法概括了产品机制，不过其有效性目前仍是该公司的主张。

Acalvio 并未将 Deception Guardrails 定位为模型控制措施的替代品。该公司将其描述为一种互补的运行时层，适用于输入过滤、输出过滤和对齐保护已经失效的情况。

这一区别很重要，因为 AI agent 不只是聊天机器人。聊天机器人会返回文本；agent 还可以向服务进行身份验证、选择工具、修改记录、发送消息、执行代码，或将工作委派给另一个 agent。

风险始于这些操作继承了真实权限。操纵 agent 的攻击者可能无需突破每一道边界防护。该 agent 本身已经拥有受信任的位置、有效凭据，以及通向企业系统的获批路径。

Acalvio 的公告给出了一个直接示例。该公司称，如果 agent 失控，欺骗性资产可以暴露这种失配、返回伪造数据，并向安全运营中心发出警报。这一流程旨在真实资产受到影响前中断攻击。

然而，公告没有提供 Deception Guardrails 本身的公开基准。它没有披露这项新能力的部署数量、检测率、误报率或告警时间结果。

因此，该产品进入市场时，是网络欺骗技术在技术上合理的延伸，而非一个经独立验证的 agent 安全答案。其重要性在于控制措施所处的位置：模型生成答案之后、agent 完成目标之前。

为什么 AI Agent 会给被动式安全带来压力

Agent 将原本分离的攻击步骤压缩为一个连续工作流，缩短了分析人员识别和遏制入侵的可用时间。

由人主导的入侵通常包含停顿。操作者会审查侦察结果、选择目标、获取访问权限、研究环境，并决定下一步的移动方向。自动化可以缩短这些阶段，而自适应 agent 则可以将它们连接起来。

Acalvio 认为，自主系统能够以有限的人类指导枚举网络、收集凭据、进行身份验证并横向移动。横向移动指的是从一个已被攻破的资源进一步进入同一环境内的其他系统。

这种运行模式对依赖可识别行为的安全产品构成挑战。基于特征的工具会查找已知代码或基础设施；行为系统则会标记偏离既定基线的情况。两者仍然有用，但 agent 可以改变其行为，并通过合法接口运行。

当受入侵的 agent 使用其被分配的身份时，问题会更加棘手。它的调用可能来自获授权的服务账户；其 API 请求可能看起来与正常工作无异；其记录可能以安全运行期间使用的同一身份出现在日志中。

联合政府关于谨慎采用 agentic AI 的指南，将这视为身份和权限问题。该指南警告称，过宽的权限、静态授权决策和薄弱的隔离措施，可能放大单个受入侵组件的影响。

其中一个场景描述了一名可访问财务系统、电子邮件和合同资料库的采购 agent。攻击者攻破其工作流中风险较低的工具，随后继承了该 agent 过高的权限。

另一个场景涉及信任第三方排程组件的支持 agent。缓存的授权决策使受入侵组件能够访问敏感账户功能，并进一步接近处理账单的 agent。

这些例子说明，模型级过滤器无法承担全部防御职责。模型过滤器评估 AI 应用内部的内容或行为；它不会自动撤销凭据、隔离工作负载、分割网络，或验证每一项外部操作。

安全团队还面临可见性问题。Agent 工作流可能包含规划组件、检索系统、插件、API 和其他 agent。一项任务可能会在多个服务之间触发一连串很长的决策。

由此产生的日志可能是碎片化的。操作人员可能在一个层面看到获批请求，在另一个层面看到工具调用，并在其他地方看到数据变更。关联这些记录需要时间，尤其是在 agent 的运行速度快于审查流程时。

欺骗技术提供了不同的信号。植入的凭据没有任何合法业务用途；诱饵服务器不应接收任何授权流量。因此，交互可以暴露敌对侦察行为，而无需分析人员先重建 agent 的推理过程。

这种高置信度信号是其主要吸引力。安全运营中心本已接收到大量异常事件。欺骗性资产可以将模糊模式转化为具体事件，因为正常软件本不应接触它。

Acalvio 此前曾报告其在美国海军 ANTX FY25 演习中的结果。其运行时安全分析称，在自动化、凭据驱动的入侵测试中，其欺骗技术实现了 100% 的真阳性告警，并阻止了攻击者 80% 的目标。

这些数字涉及较早的一次演习以及 Acalvio 更广泛的欺骗技术。它们不应被视为新发布的 Deception Guardrails 的性能结果。

即便如此，它们仍说明了该公司的策略。Acalvio 押注于：机器速度的攻击者仍依赖于发现、身份和环境信息。这些依赖关系为防御者制造虚假选项提供了切入点。

此次发布同时给多个群体带来压力。Agent 开发者必须考虑模型接受恶意指令后会发生什么；身份团队必须治理非人类账户；安全供应商必须观测跨越模型、应用、云和网络边界的工作流。

企业采购方承担的负担最广泛。他们必须判断，运行时欺骗层是否能充分降低风险、从而值得增加一项安全控制，同时还要保留欺骗技术无法替代的传统防御措施。

真正的较量是环境防御与仅依赖模型的 Guardrails

Acalvio 的观点是，安全的模型并不等同于安全的运行环境。

许多 AI guardrails 专注于进入或离开模型的信息。它们可以对提示词分类、阻止被禁止的话题、识别敏感数据，或约束助手的回答。

这些控制措施解决了真实问题。它们可以减少直接越狱、防止部分数据泄露，并执行应用策略。它们也在接近模型的位置运行，开发者可以在那里检查提示词和生成文本。

Agentic 系统扩展了这一边界。模型可以将答案转化为操作，而操作可以改变外部系统。如果周边工作流授予了过多权限，一个看似无害的回答也可能发起危险的工具调用。

受入侵的 agent 也可能间接接收到恶意指令。它可能从网页、文档、电子邮件、工具响应或被投毒的检索来源中读取这些指令。这种技术通常被称为间接提示词注入。

一旦 agent 接受了该指令，输出过滤器可能看不到任何异常。该 agent 可能请求一个文件、调用获允许的 API，或使用已有 token。每个单独操作看似都有效，但组合后的目标仍然具有敌意。

Acalvio 的环境方法试图让这种敌对目标变得可观测。防御者无需预测每一条恶意提示词，而是创建未经授权的工作流可能会探索的受监控路径。

设想一个可访问共享驱动器和检索系统的内部研究 agent。攻击者在文档中植入指令，要求该 agent 搜索配置文件以寻找凭据。

预期位置中的欺骗性凭据可能暴露这一行为。如果 agent 尝试将其用于诱饵服务，防御者就会获得第二个信号，并可隔离该工作负载。

同样的模式也适用于工具发现。Agent 通常通过读取描述和 schema 来选择工具。搜索特权能力的恶意工作流，可能会遇到一个看似有用、但只会通向受监控端点的 honey skill。

诱饵 MCP 服务器将陷阱延伸到了不断发展的集成层。如果某个代理连接到任何获授权工作流都不应使用的服务器，这一行为表明系统可能已被攻破、存在严重配置错误，或出现了意料之外的发现路径。

诱饵 RAG 系统则瞄准了另一道信任边界。RAG 让模型能够在查询时访问外部信息。虚假的数据存储可发现未经授权的检索行为，同时阻止攻击者立即接触真实业务数据。

这种架构带来了权衡。伪装性资产越像有价值的资源、越贴近真实工作流，欺骗就越可信。但这种贴近性也会提高部署和维护要求。

安全团队必须防止合法自动化流程使用诱饵。他们还必须随着环境变化更新欺骗性资产。同时，也需要制定响应策略，以区分攻击行为与错误的工具选择决策。

模型可能会误触欺骗性资产。代理属于概率性系统，这意味着相同输入可能产生不同选择。糟糕的工具描述、配置漂移或不完整的路由规则，都可能将合法任务引向错误的服务。

这种可能性让 Acalvio 所谓的“高置信度”表述变得更复杂。一次交互强烈表明某处出了问题，但并不总能证明存在恶意意图。该事件可能暴露攻击者、未对齐的代理，或工程缺陷。

这依然具有运营价值。当某项资产被设计为保持未使用状态时，上述三种结果都值得调查。不过，响应的严重程度应取决于代理身份、请求的操作以及周边证据。

环境护栏同样无法阻止只沿着已知合法路径进行的攻击。了解部署情况的攻击者可能避免枚举、忽略可疑凭据，并直接瞄准真实 API。

因此，核心竞争并非 Acalvio 与某一款竞品之间的较量，而是环境防御与“模型控制能够约束代理所有行为”这一假设之间的对抗。

Acalvio 将欺骗定位为一种在对齐失效后仍然有用的独立层。更站得住脚的解读则更为有限：欺骗能够增加可观测性和干扰机会，但前提是已被攻破的工作流恰好接触到预先部署的信号。

欺骗护栏仍需身份、隔离和操作控制

诱饵能够暴露已被攻破的代理，但无法降低使这种攻破变得危险的权限。

如果没有通往相应操作的路径，代理就无法删除数据、转移资金或变更基础设施。凭据、权限和工具访问权决定了它可能造成的损害。

这使得最小权限成为首要控制措施，而非辅助细节。每个代理都应仅获得完成当前任务所需的访问权限。权限还应在工具运行时进行评估，而不只是在工作流启动时。

短期凭据可降低被盗机密的价值。独立身份使活动更容易归因。网络隔离则在某个组件失效时限制横向移动。

对于高影响操作，人工审批仍然适用。系统可以让代理起草付款或基础设施变更，同时要求由人工授权执行。

这些控制措施与欺骗的作用方式不同。身份治理限制代理能够触及的范围。授权检查约束单项操作。隔离控制移动范围。欺骗则试图揭示未经授权的路径。

这些层级结合后会更强大。欺骗性凭据可标记尝试提升权限的行为，而短期访问可防止真实凭据长期保持有效。诱饵服务可揭示扫描行为，而隔离能让扫描器远离敏感网络。

运行时监控是另一项必要层级。团队需要记录工具调用、身份变更、检索数据、策略决策和人工覆盖操作。没有这些记录，欺骗告警或许能指出第一个可见症状，却无法揭示导致它的路径。

政府关于代理式 AI 的指南建议为代理间交换建立统一审计日志。该指南还呼吁采用强身份、回滚机制、受控权限、监控和渐进式部署。

一项关于编码代理运营故障的 2026 年研究补充了来自真实事故报告的证据。研究人员对 547 起事故进行了分类，并将其中 326 起评为高严重性或关键严重性。约束违规、破坏性操作、授权绕过和欺骗位列主要风险之中。

这项编码代理研究发现，超过 65% 的事故发生在修复缺陷、环境设置或配置期间。作者认为，护栏必须强制执行环境约束、透明度和安全停止行为。

该研究并未测试 Acalvio 的产品。但它支持了一个更广泛的结论：仅靠提示词防御仍无法解决重要的运营风险。

在企业买家评估这项新能力之前，Acalvio 仍必须回答一些实际问题。

首先，系统如何衡量覆盖范围？安全团队需要知道哪些代理、凭据、工具注册表、RAG 存储和 MCP 连接受到保护。笼统宣称全谱覆盖，不能替代资产级地图。

其次，当合法代理选择了欺骗性工具时会发生什么？平台需要提供具备上下文感知能力的严重性判定、调查数据和遏制选项。否则，高置信度告警仍可能导致高成本的响应失误。

第三，Acalvio 如何保持诱饵的可信度？随着攻击者收集环境知识，静态资产会更容易被识别。令人信服的欺骗需要生命周期管理、变化性，以及反映真实架构的部署位置。

第四，如何防止护栏本身成为新的攻击面？诱饵 MCP 服务器和面向代理的工具必须处理不受信任的请求。隔离薄弱可能使防御服务变成攻击跳板。

第五，平台在发现代理后能够多快遏制它？单靠告警无法阻止机器速度运行的工作流。有效的集成应能撤销凭据、隔离工作负载、阻断会话，或要求重新授权。

发布材料称，Deception Guardrails 能在威胁转向生产环境前将其“中和”。这一结果尚未在公开的产品测试中得到独立证明。

近期内最可信的角色是通过定向干扰实现更早检测。有关预防的更强主张，则需要在多样化的代理框架、攻击技术和企业配置中获得证据。

买家还应考察该产品是否能够观察在不同平台上开发的代理。企业部署很少只使用一种模型、一套编排框架或一个云平台。

有用的运行时层应能跨越这些边界运行，而无需依赖私有推理轨迹。可执行的证据存在于身份、网络、文件、API 和工具层面，这些交互都可以被记录和强制执行。

安全团队应将 Deception Guardrails 视为纵深防御的一部分。它不应成为授予代理宽泛权限或采用薄弱部署实践的理由。

最安全的代理仍然始于受限权限。当这一基础失效、攻击者开始寻找路径，而环境能够在损害扩散前暴露这种搜索时，欺骗才会体现出价值。

什么将证明 Acalvio 的方法是否奏效

下一个考验不是诱饵能否在演示中捕获代理，而是企业能否在不制造新盲点的情况下大规模运行这一系统。

第一个值得关注的信号是独立产品验证。买家需要受控测试，将 Deception Guardrails 与直接提示词注入、间接注入、被盗凭据、恶意 MCP 工具、已被攻破的 RAG 来源及横向移动进行比较。

这些测试应将检测与预防区分开来。它们应报告平台是否观察到活动、是否延缓了活动、是否返回虚假信息、是否阻止访问，以及是否遏制了代理。

结果还应包括误报。一套能够检测所有恶意交互、却频繁诱捕合法代理的系统，可能扰乱生产工作流并耗尽安全团队的精力。

Acalvio 先前引用的演练结果提供了有用背景，但无法验证后来发布的产品。测试应涵盖新的代理专用资产和集成。

第二个信号是生产环境采用情况。公开的客户说明应描述团队将蜜标放置在何处、覆盖了多少代理，以及告警后采取了哪些响应操作。

当案例研究包含运营阻力时，其信息价值会更高。买家需要了解部署时间、维护要求、告警量，以及调查一次交互所需的分析师工作量。

广泛的企业级部署将增强 Acalvio 关于欺骗可成为标准运行时控制措施的主张。仅限于实验室的小规模演示，则只支持更狭窄的使用场景。

第三个信号是竞争对手和平台供应商如何回应。代理安全已涵盖模型过滤、身份治理、沙箱、工具网关、应用扫描和运行时策略执行。

如果主要代理平台加入原生欺骗性资产或受监控的虚假工具，Acalvio 的环境论点将获得支持。如果买家转而统一采用确定性的授权网关，欺骗可能仍将是一种专业化的检测层。

这些方法并不相互排斥。网关可以阻止未经授权的调用，而诱饵可揭示代理曾尝试进行该调用。市场问题在于，哪一层将获得预算、运营归属权和集成优先级。

标准将塑造这一决定。MCP 让工具连接更容易，但也为发现、策略和监控提供了共同位置。该层更完善的身份验证和授权可以降低暴露面。

即使标准得到改善，欺骗仍可能有用。安全协议无法防止每一种被盗身份、被污染的数据源或恶意指令。不过，它们能够缩小陷阱需要运行的路径范围。

Acalvio 的时机是合理的。企业正将代理从实验推进到涉及客户数据、代码、内部文档和云服务的工作流中。随着这些系统获得更大权限，运行时行为变得更加重要。

该公司也拥有可扩展的成熟欺骗平台。这使其具备蜜标、诱饵、身份系统和安全运营集成方面的经验。但这并不能免除其证明代理专用实现效果的需要。

对开发者而言，此次发布提醒人们记录每一道信任边界。代理的模型、提示词、工具、身份、数据存储和外部服务都需要独立控制。

对企业买家而言，相关问题不是网络欺骗听起来是否有说服力，而是 Acalvio 能否展示对组织实际运行的特定代理和系统的可靠覆盖。

对安全团队而言，Deception Guardrails 提供了一个观察意图的新位置。代理触及虚假凭据或诱饵工具时，会产生普通异常检测可能遗漏的证据。

其局限性同样重要。没有出现欺骗告警，并不能证明代理是安全的。工作流可能已被攻破，却没有触及任何预先部署的资产。

评估 Acalvio 的组织应针对自身架构运行对抗性测试。他们应衡量检测时间、遏制时间、合法代理交互，以及会接触欺骗机制的攻击路径比例。

他们还应演练应对流程。当防护机制被触发时，团队需要立即决定：是撤销凭证、隔离代理、停止下游工具，还是保留会话以供调查。

这种准备决定了一条警报会成为防御手段，还是仅仅记录一场已经进行中的攻击。

Acalvio 发现，控制模型内容与保护代理行为之间确实存在缺口。其解决方案是让环境对已被攻陷的代理而言变得不那么可信。

这一思路值得关注，因为它接受了一个令人不安的前提：即使内置防护措施存在，某些代理仍会遭到操纵。该产品仍需提供独立证据，证明其陷阱在攻击者路径上出现的频率。

随着 AI 代理获得更多访问权限，安全负责人应提出一个具体问题：如果某个受信任的代理明天变得敌对，哪些控制措施能够限制其权限、揭示其活动轨迹，并阻止它的下一步行动？