2026 AIDR（AI检测与响应）白皮书

AIDR(AI检测与响应)白皮书从

Protect

IT到

ProtectAl面向AI与Agent运行时的新一代检测响应体系前言..................................................................................................................04第一章

AI时代安全挑战：从

Protect

IT到

Protect

AI................................05第二章

AIDR定义与关键能力................................................................................12第三章

AIDR能力模型............................................................................................

18第四章

企业AIDR建设路径..................................................................................

23第五章

AI原生威胁场景.........................................................................................26第六章

AIDR产业格局与中国企业现实挑战....................................................

34第七章

亚信AIDR战略优势....................................................................................

36第八章

总结与展望:迈向可信、可控的AI时代................................................39附录...........................................................................................................

42目录CONTENTS人工智能正在重塑企业计算模式。随着大语言模型走向生产、Agent进入自动化业务流程、

MCP等协议连接更多工具和数据，企业的执行链路正在从“用户-应用-数据”转向“Prompt-Agent-Model-Tool-Data”。

AI不再只是被调用的工具，

而正在成为能够

规划、调用、访问和执行的运行主体。这使安全保护对象从IT基础设施进一步扩展到AI系统。过去企业安全建设的核心命题是Protect

IT——保护终端、网络、云和工作负载；

AI时代则需要进一步回答Protect

AI——如何保护AI应用、模型、

Agent、工具链、知识系统和身份凭据，并持续理解其运行行为。现有AI-SPM、

AI

Gateway、

LLM

Firewall、

AI

DLP等能力分别解决资产、入口、语义或数据等局部问题，但企业仍缺少一套面向AI运行时的持续发现、检测、调查与响应体系。本白皮书以亚信AIDR参考模型为基础，

提出面向AI

Runtime的检测与响应框架，为CIO/CISO、安全管理者和AI基础设施建设者提供参考。免责声明：

本白皮书用于技术与架构研究参考，不同法规的适用范围和产品能力应结合具体业务环境独立评估。前言从

Protect

IT到

ProtectAIAIDR白皮书AI时代安全挑战从

Protect

IT到

ProtectAI

1.安全范式的历史演进安全行业的演进，本质上是保护对象不断变化的过程：网络时代保护边界，终端时代保护进程，云时代保护工作负载，XDR进一步统一跨域IT安全；进入AI时代，保护对象开始扩展到Prompt、Agent规划、工

2.AI正在改变企业计算模式传统应用的执行路径相对确定：用户通过应用和API访问后端服务与数据，边界、身份和权限较为清晰。AIAgent则可以基于上下文自主规划，调用模型、

RAG、

MCP、外部API、

Browser、

Shell等工具并完成业务动作。核心判断：保护对象变了，安全能力体系也必须随之扩展。AIDR不是替代EDR/XDR，而是把“持续遥测-检测-调查-响应”范式进一步延伸到AI原生对象与AI运行过程。从

Protect

IT到

ProtectAI

05具调用、知识访问和委托链。

AIDR白皮书AI安全风险同步上升：

HiddenLayer《2024AIThreat

LandscapeReport》显示，77%的受访企业表示已经经历AI相关安全事件，92%的受访企业仍在制定全面的AI威胁应对计划。Gartner进一步预测，到2028年，

25%的企业生成式AI应用每年将至少发生5起轻微安全事件。与此同时，

OWASPTop

10forLLMApplications2025将Prompt

Injection列为首要风险，安全关注重点正从模型输入输出进一步扩展到Agent运行时。企业AI采用快速增长：

Microsoft与LinkedIn《2024WorkTrend

Index》显示，全球75%的知识工作者已在工作中使用AI；在AI用户中，

78%会使用企业未提供的AI工具（BYOAI），使ShadowAI成为重要治理挑战。Gartner预测，到2026年，超过80%的企业将使用生成式AIAPI或模型，和/或部署生成式

AI应用，而2023年这一比例不足5%。因此，AI安全的核心变化不是“多了一个大模型”，而是企业环境中出现了新的决策主体和执行主体。安全团队不仅要判断某个进程或网络连接是否异常，还要理解“谁发起、Agent的任务目标、调用了什么工具、使用了什么身份、访问了什么数据、最终执行了什么动作”。

3.AI安全威胁趋势与行业数据AI正在快速进入企业生产环境，但AI应用速度与安全治理能力之间存在明显落差。从

Protect

IT到

ProtectAI…

06中国AI安全监管持续完善：近年来，算法推荐、生成式AI服务、AI生成内容标识等制度持续推进，企业需要加强内容安全、数据保护、算法治理和安全审计能力。不同法规的适用范围需结合具体业务场景判断。这些趋势表明，AI安全已从未来议题转变为现实运营问题。传统安全体系仍是AI基础设施的重要底座，但仅依赖传统IT遥测和检测逻辑，难以完整覆盖Prompt、Agent、身份、工具调用和AI

Runtime等新型风险，因此需要进一步构建面向AI运行时的检测与响应能力。典型事件风险表现暴露的传统安全不足AIDR关注点三星电子ChatGPT代码泄露（2023）员工将源代码、设备数据和内部会议内容提交至公共AI服务未覆盖GenAI交互入口的DLP/网络监控难以理解

Prompt中的敏感内容资产发现

+

Prompt

DLP+语义判断

+

阻断/脱敏Microsoft

365Copilot权限继承与数据过度暴露

（Oversharing）风险AI继承现有权限后可能汇总并暴露组织敏感信息静态IAM难以理解Agent的动态检索、汇总和输出过程身份/权限追踪

+行为监测

+敏感输出保护AnthropicAgent安全评测中访问真实网络事件（2026）安全评测环境出现操作/配置问题并意外提供真实互联网访问时，Agent继续执行测试任务并访问了真实企业系

统。静态网络策略难以理解Agent的目标偏移与动态执行意图规划/行为监测

+

网络控制

+

审计与响应

4.AI安全典型事件AI广泛进入企业办公和生产后，风险开始集中在三个方面：未经授权的AI使用与数据外泄、AI继承或叠加权限后的过度访问，以及Agent在目标驱动下产生的自主越界行为。与此同时，

Prompt

Injection、知识投毒、恶意AI组件和非人身份（NHI）滥用等风险正在成为新的攻击面。

5.AI时代八大保护对象AI时代的保护对象从传统IT资产扩展到AI应用、模型、Agent、工具、上下文、知识、身份和运行环境。亚信AIDR参考模型将其归纳为八类：从

Protect

IT到

ProtectAI

07

AIDR白皮书对象类别典型对象关键安全问题AI应用与服务公共AISaaS、企业自建AI应用、Agent平台ShadowAI使用、暴露、策略绕过模型与供应链基础模型、微调模型、推理镜像、依赖组件来源不可信、篡改、恶意模型Agent与工作流单Agent、多Agent、

Planner、Workflow、

Skill目标劫持、行为越权、自动化扩散MCP与工具MCPClient/Server、Tool、

Browser、

Shell恶意工具、工具投毒、越权调用交互与上下文Prompt、

Response、Context、多模态输入注入、越狱、上下文污染知识与记忆RAG、

Memory、Vector

DB、知识图谱敏感知识泄露、投毒、跨租户访问身份与凭据User、Agent

Identity、

NHI、Token、

Secret身份冒用、过度授权、委托链滥用运行环境终端、服务器、容器、云、网络传统漏洞、主机入侵、配置风险这些对象并非都在AI时代首次出现，但AI使其成为需要被独立观察、关联和控制的一等安全对象。传统安全控制仍然重要，但仅依赖既有IT遥测难以完整理解AI原生语义、身份和执行上下文。…08

从

Protect

IT到

ProtectAIAIDR白皮书现有能力AI时代的主要缺口AIDR需要补充EDR/XDR可看到进程、网络和跨域事件，但缺少Prompt、Planning、Tool等AI上下文AI原生遥测

+AI/IT事件关联DLP若未覆盖GenAI交互入口，难以识别Prompt、工具参数等新型数据流Prompt/Response、

RAG、

Memory数据保护IAM/PAM擅长管理静态用户/账号权限，但对Agent/NHI和动态委托链支持不足Agent

Identity、

NHI、委托链与动态权限AIGateway/

LLMFirewall擅长入口语义与访问控制，但视野通常集中在模型交互链路Agent执行、端点/云行为、跨域调查与响应构成要素关键证据主要风险主体用户、Agent、子Agent、

NHI、服务账号身份冒用、越权、多跳委托失控上下文Prompt、

Response、系统指令、记忆Prompt注入、目标劫持、知识/记忆污染执行规划、ToolCall、

MCP、API、命令工具滥用、危险自主行为、资源耗尽结果数据流向、执行结果、外部连接数据外泄、错误变更、横向访问 6.双向威胁：AI既是攻击目标也是攻击载体AI安全具有“双向性”。一方面，攻击者可以通过Prompt

Injection、知识投毒、恶意模型或供应链组件攻击AI系统；另一方面，被劫持、被滥用或自主失控的Agent本身也可能成为攻击载体，执行越权调用、数据外传、资源耗尽或错误业务动作。AIDR因此需要同时观察四类运行证据：主体（User/Agent/NHI）、上下文（Prompt/Response/Memory）、执行（Agent

Planning/Tool/MCP/API）和结果（数据流向、外部连接、执行结果）。只有把“意图-权限-行为-结果”放在同一事件上下文中，才能判断AI运行风险。 7.为什么传统安全体系无法保护AI时代问题并不是传统安全产品“失效”，而是其原始遥测与检测模型主要面向IT对象，缺少AI原生语义和运行上下文。AIDR需要在现有EDR/XDR、

DLP、

IAM和网络安全能力之上增加新的观察与关联能力。核心矛盾在于：AI系统是语义驱动的动态执行体，仅依赖IOC、静态特征和传统规则不足以应对其风险，需要叠加语义、上下文、身份和行为分析，并通过统一中枢形成检测响应闭环。从

Protect

IT到

ProtectAI

09

AIDR白皮书法规/标准核心安全要求AIDR可提供的技术支撑《生成式人工智能服务管理暂行办法》内容安全、训练数据来源、算法与模型安全评估、风险处置AI资产发现、语义安全检测、数据来源审计、事件追踪《数据安全法》数据分类分级、重要数据保护、风险评估、数据流转控制Prompt

DLP、敏感数据识别、数据流追踪、访问控制《个人信息保护法》个人信息合法处理、敏感信息保护、自动化决策透明性敏感信息识别、脱敏、访问审计、AI输出风险检测《网络安全法》及等保2.0网络攻击防护、日志留存、事件追溯、安全审计Runtime检测、日志留存、事件调查、证据链管理《算法推荐管理规定》算法备案、风险评估、科技伦理和运行管理AI资产台账、模型/Agent登记、策略与审计管理技术路线主要优势需要进一步补充AI-SPM型AI资产发现、配置和风险态势Runtime检测、调查与响应Gateway/Runtime型Prompt、

Model、API和交互入口控制Endpoint及传统IT攻击链关联Endpoint/XDR型执行行为、传统安全遥测、调查响应AI语义及SaaS/Agent原生遥测AgentSecurity型Agent行为、Tool调用和运行时控制跨域资产、数据和SOC整合 8.AI安全产业正在从单点防护走向体系化检测响应随着AI从模型交互走向Agent自主执行，AI安全产品也正在发生演进。早期市场主要围绕AI资产发现、Prompt防护、AIGateway和数据安全等单点能力展开，当前领先厂商则开始向Agent、

Identity、Tool和Runtime扩展。不同厂商正在从自身优势控制点进入AI安全：AI安全同时受到合规治理和企业工程环境的双重驱动。对于政府、央国企、金融、运营商及关键基础设施等大型和强监管行业，AI系统需要重点考虑数据安全、内容安全、身份权限、日志审计和业务连续性。说明：不同法规的具体适用范围取决于业务场景、部署方式和数据类型。以下映射用于说明AIDR可提供的技术支撑，不构成法律意见。产业趋势表明，AI安全正在从单点工具走向“多控制点采集

+AI原生检测

+统一调查响应”的体系化方向。企业需要的不只是更多AI安全工具，而是一套能够将AI原生安全能力与现有XDR/SOC体系连接起

来的检测响应体系。AIDR正是在这一产业演进背景下形成。9.1AI安全监管与合规要求中国已经形成覆盖网络安全、数据安全、个人信息保护和生成式AI治理的监管框架，核心要求可归纳如下： 9.中国AI安全：从合规要求走向安全建设刚需…10

从

Protect

IT

到

ProtectAIAIDR白皮书监管要求表明，企业AI安全需要从单点过滤逐步走向覆盖资产、交互、数据、身份、行为和响应的持续安全能力。9.2中国大型企业AI安全的四类实践要求除监管要求外，

中国大型企业的AI部署环境还具有较强的本地化、异构化和复杂性，形成四类典型实践要求：实践要求核心含义AIDR支撑本地可控Prompt、

Session、日志和敏感数据支持本地采集、检测和存储数据保护、本地遥测与响应开放适配兼容国产/自研模型、Agent平台、私有云和多网络环境多控制点采集、统一对象模型全程可审计能追踪用户、Agent、身份、工具调用和数据访问全过程身份、行为、证据链与调查业务连续支持观察、灰度和分级响应，避免安全控制影响生产风险评分、策略编排、响应验证ProtectAI的目标不是限制AI创新，而是让AI能够在安全、合规和业务连续的前提下进入生产环境并持续运行。从产业演进来看，AI安全正在从分散的单点防护能力走向面向AI

Runtime的体系化检测与响应。那么，这套新的检测响应体系究竟应该保护什么、如何运行、具备哪些基本能力？这正是AIDR需要回答的问题。9.3从合规要求到AIDR能力体系监管要求和企业实践共同推动AI安全从“单点防护”走向“持续检测响应”。AIDR通过连接资产、语义、数据、行为、身份和响应能力，使企业能够实现AI资产可见、AI行为可理解、AI风险可追溯、响应结果可验证。这四类要求意味着，中国大型企业需要的AIDR不能只是一个云端AI安全服务，而应具备本地部署、多源遥测、AI与IT统一关联、可审计和可持续运营能力。从

Protect

IT到

ProtectAI

11

AIDR白皮书AIDR（AI

Detection&

Response）是面向AI与Agent运行时的新一代检测与响应体系。AIDR通过持续发现AI资产，观测Prompt、Agent、Tool、Identity、

Data等AI运行时对象与行为，识别AI原生风险，关联AI与IT安全事件并实施响应，保障AI系统运行安全、可控和可追溯。AIDR是AI时代继EDR/XDR之后，面向AI

Runtime的新一代检测与响应安全品类。AIDR的品类核心是把传统EDR/XDR的"持续遥测—检测—调查—响应"范式，扩展到AI原生对象和AI运行过程。它不仅观察代码和基础设施行为，还需要理解提示词、任务上下文、Agent规划、工具调用、知识访问和委托关系。亚信AIDR的核心差异化定位是AIXDR统一中枢。AIDR以统一中枢为核心架构原则，汇聚终端、网络、云、AIGateway、

MCPGateway等多源遥测，关联提示词、Agent、工具、身份、数据等AI原生事件，编排跨控制点响应闭环，区别于分散的单点安全工具。一个类比可以说明AIDR的品类定位：

2.AIDR关键技术能力AIDR并非依赖某一种单点安全技术，而是通过AI原生遥测、统一上下文建模、多维风险检测、跨域事件关联和响应验证等技术能力，将AI原生安全与传统IT安全连接为完整检测响应闭环。XDR保护IT

RuntimeAIDR保护AI

RuntimeAIDR定义与关键能力…12

从

Protect

IT

到

ProtectAIEDR保护Endpoint

Runtime

1.AIDR品类定义AIDR白皮书关键技术能力核心作用与六层模型关系AI原生遥测与持续可观测持续采集Prompt、

Session、Agent、ToolCall、

MCP、Identity、

Data及Runtime行为资产、数据、行为、身份AI对象与运行上下文统一建模关联User、Agent、

Model、Tool、

Identity、

Data与传统IT资产，形成统一运行上下文六层共同基础多维AI风险联合检测联合分析语义、数据、身份和实际执行行为，判断注入、泄露、越权及异常执行语义、数据、行为、身份AI与IT攻击链关联调查将AI原生事件与Endpoint、

Network、Cloud等传统遥测关联，重建完整事件故事线行为、响应与取证跨控制点响应与闭环验证在会话、工具、身份、终端、网络等位置实施响应，并验证风险是否真正收敛响应与取证五项关键技术能力回答“AIDR如何实现”，六层产品能力模型回答“AIDR需要具备什么能力”。二者共同构成AIDR从技术机制到产品能力的完整体系。

3.AIDR核心任务闭环AIDR的核心任务遵循六阶段闭环模型，从资产发现到响应验证形成完整流程。从

Protect

IT到

ProtectAI

13

AIDR白皮书阶段定义关键产出发现（Discover）持续发现AI资产、身份、依赖、暴露面与控制点资产台账、关系图谱、可信度和风险标签观察（Observe）采集交互、执行、知识访问、身份与基础设施遥测统一事件、Trace、

Session和证据链检测（Detect）识别语义、数据、身份、行为、供应链和服务攻击风险告警、风险评分和检测证据调查（Investigate）关联Prompt、Agent、Tool、身份、数据和执行结果事件故事线、根因、责任归属和攻击链响应（Respond）执行会话、工具、身份、终端、网络和工单处置阻断、撤权、隔离、脱敏和修复动作验证（Verify）确认处置动作已执行且风险已收敛三态验证、闭环率和残余风险价值阶段范围能力看见发现AI应用、Agent、模型、

MCP、Tool、身份看懂关联Prompt、

Session、ToolCall、数据访问和身份关系，形成AI运行上下文判断识别Prompt

Injection、数据泄露、Agent越权、身份滥用控制执行阻断、撤权、隔离、

KillSwitch验证确认风险是否消除、权限是否恢复、事件是否闭环六阶段闭环中最值得关注的是"验证"阶段。AIDR进一步强调对AI运行状态和残余风险的验证——通过三态验证机制（已下发、待验证、已确认），确保每个响应动作都形成真正的闭环。这一设计源于AI系统行为的动态性和不确定性：一个被终止的Agent

Session可能在其他节点继续执行，一个被禁用的工具

可能通过MCP代理重新接入，只有通过验证才能确认风险真正收敛。 4.最小AIDR闭环与基本准入条件4.1企业AIDR建设最小闭环为了帮助企业理解AIDR建设范围，完整能力可以拆解为：

企业建设AIDR不要求一次覆盖全部能力，但必须明确保护范围，并在目标场景形成最小检测响应闭环。…14

从

Protect

IT

到

ProtectAIAIDR白皮书4.2AIDR最低准入标准一个产品或解决方案若要构成AIDR

，至少应具备以下四类能力：1）能够持续观察AI原生对象及运行行为；2）能够对语义、数据、身份或行为中的多维风险进行检测；3）能够将AI原生事件与执行证据关联形成调查上下文；4）能够实施响应，并验证处置结果是否真正生效。六层能力模型定义完整AIDR的目标能力边界，而最小闭环定义AIDR成立的基本条件。仅具备资产发现、Prompt过滤、数据防泄漏或单点Gateway能力，不构成完整的AIDR检测响应体系。价值阶段要回答的问题主要结果看得见企业有哪些AI资产、Agent、模型、

MCP、工具和身份？AI资产台账、关系图谱、暴露面和可信证据分得清哪些是授权资产、影子资产、核心服务、依赖组件和异常行为？资产分类、归属、去重、可信度和行为上下文判得准哪些风险真正重要，来自语义、数据、身份还是执行行为？风险评分、事件关联、Top-N优先级和可解释判断管得住如何阻断、撤权、隔离、修复并验证结果？联动处置、工单闭环、响应验证和风险收敛

5.AIDR品类价值主张AIDR为ProtectAI时代的企业安全提供四阶段价值闭环。从

Protect

IT到

ProtectAI

15

AIDR白皮书“看得见”：是AIDR的起点。企业首先需要知道自己有哪些AI资产——包括员工正在使用但未经授权的"影子AI"、企业自建的AI应用、接入的公共AISaaS、部署的模型和Agent、配置的MCPServer和工具。很多企业在被问及"你们有多少AI应用在使用"时无法给出准确答案，这正是AIDR"看得见"价值阶段要解决的首要问题。“分得清”

：要求对发现的资产进行分类、去重和归属。同一个AI应用可能从终端、网络和浏览器多个来源被发现，AIDR需要将其归并为同一资产，并标注可信度、归属者和风险标签。“判得准”：是AIDR检测能力的核心。AI安全风险的来源是多维度的——语义层面的提示词注入、数据层面的敏感信息泄露、身份层面的权限滥用、行为层面的工具越权——AIDR需要综合这些维度的信号进行风险评分和优先级排序，并给出可解释的判断依据。“管得住”：是AIDR的最终价值。检测不是目的，闭环才是。AIDR需要能够执行会话阻断、数据脱敏、工具禁用、权限撤销和Agent紧急停止（KillSwitch）等响应动作，并通过验证确认风险收敛。维度EDRXDRAIDR核心对象终端进程、文件、注册表终端、网络、云、身份等跨域遥测Prompt、

Response、Agent、Tool、

MCP、

RAG、Memory、

NHI检测逻辑代码与行为跨域行为关联语义、数据、身份、任务上下文与执行行为联合检测核心遥测终端传感器多源安全日志AI交互日志、AgentSession、ToolCall、知识访问+传统安全遥测响应动作进程阻断、终端隔离跨域编排处置会话阻断、数据脱敏、工具禁用、权限撤销、Agent

KillSwitch主要价值保护终端运行时统一安全运营保护AI与Agent运行时EDR的核心对象是终端进程、文件和注册表，检测逻辑基于代码行为，响应动作是进程阻断和终端隔离。XDR将EDR的范式扩展到跨域遥测，统一终端、网络、云和身份的安全运营。AIDR则将这一范式进一步扩展到AI原生对象——Prompt、

Response、Agent、Tool、

MCP、

RAG、

Memory和NHI——检测逻辑从代码行为升级为语义、数据、身份、意图与执行行为的联合检测，响应动作从进程阻断升级为会话阻断、工具禁用、权限撤销和Agent

KillSwitch。在实际部署中，AIDR以AIXDR统一中枢为架构核心，复用XDR的数据归一、事件关联和响应编排能力，同时扩展AI原生的对象模型、遥测采集和检测引擎。XDR保护IT

Runtime

，AIDR保护AI

Runtime

，两者协

6.AIDR与EDR/XDR的关系AIDR不是EDR/XDR的替代品，而是EDR/XDR范式在AI时代的扩展。三者之间的关系可以从五个维度理解。…16

从

Protect

IT

到

ProtectAI同构成ProtectAI时代的完整检测响应体系。AIDR白皮书品类主要关注与AIDR关系不足以构成AIDR的原因AI-SPMAI资产、配置风险、安全态势属于发现与治理能力缺乏运行时检测、调查和响应闭环AIGateway模型访问代理、认证、路由、限流是重要接入与控制形态看不到端点、Agent执行、身份图谱和跨域事件LLM

FirewallPrompt/Response语义防护属于语义安全能力覆盖对象集中在交互链路，缺少完整资产、行为、身份和响应体系AI

DLPAI使用过程中的敏感数据保护属于数据保护能力无法替代Agent行为、Tool/MCP、调查和响应AITRiSM治理、风险、信任、合规AIDR是偏运行时的产品化落地TRiSM是治理框架，不等同于可部署的检测响应产品ECP/AIEndpointSecurityAI终端环境、Agent客户端、插件、

MCP

Server、

SkillAIDR的重要数据来源和执行控制点缺少跨域检测响应AI-SPM：解决了"看得见"的问题，但停留在资产发现和配置检查，无法在运行时检测和响应AI安全事件。AIGateway：是重要的接入和控制形态，但它的视野局限于模型访问入口，看不到端点行为和Agent执行过程。LLM

Firewall：聚焦于Prompt和Response的语义防护，但缺乏完整的资产发现、行为监测、身份治理和响应闭环能力。AI

DLP：保护AI使用过程中的敏感数据，但无法覆盖Agent行为、工具调用和委托链风险。AITRiSM：是Gartner提出的治理框架，AIDR可以为AITRiSM中的运行时安全监测、风险检测和响应治理提供技术支撑。ECP（EndpointControland

Prevention）：代表了AI时代端点安全控制能力的一种演进方向，其核心价值是在AI相关软件组件运行、工具调用和数据访问过程中提供风险识别与控制能力。AIDR

=运行闭环能力与AI原生安全能力的交集。只有局部护栏或局部发现，不构成完整AIDR。一个完整的AIDR产品需要同时具备运行闭环能力（资产发现、运行时检测、响应与调查）和AI原生安全能力（语义安全、数据保护、身份治理），并以统一中枢将两者关联、编排和闭环。

7.AIDR与相邻品类的边界AI安全生态正在快速发展，多种品类并存。理解AIDR与相邻品类的边界，有助于企业明确建设路径和产品选型。从

Protect

IT到

ProtectAI

17

AIDR白皮书认知层次内容面向读者第一层：一句话定位AIDR

=面向AI与Agent运行时的新一代检测与响应体系XDR保护IT

Runtime

，AIDR保护AIRuntimeC-Level决策者第二层：客户理解模型五动词闭环：看见→看懂→判断→控制→验证对应四阶段价值主张：看得见→分得清→判得准→管得住CISO/安全管理者第三层：技术实现模型六层产品能力模型：资产层、语义层、数据层、行为层、身份与权限层、响应与取证层安全架构师/产品团队

1.三层认知模型AIDR参考模型体系丰富，包含三大能力域、双域能力模型、六层产品能力模型和八平面技术参考架构。为帮助读者快速建立认知，建议按三个层次理解AIDR：本章是白皮书的核心章节，系统阐述亚信AIDR参考模型的能力体系，包括三大能力域扩展模型、双域能力模型、六层产品能力模型、八平面技术参考架构以及两者的映射关系。AIDR参考模型首先从战略视角将AI安全能力归纳为三大能力域，用于连接企业的安全需求表达与产品的能力建设。八平面技术参考架构作为技术参考附录，面向架构和研发团队，非必读内容。读者可根据角色选择关注的认知层次。…18

从

Protect

IT

到

ProtectAIAIDR能力模型

2.AIDR三大能力域扩展模型AIDR白皮书三大能力域回答"企业为什么需要AIDR以及如何理解价值闭环"：发现与认知域对应"看得见"和"分得清"的价值阶段，风险检测域对应"判得准"，控制与响应域对应"管得住"。六层能力模型则回答"产品需要建设什么能力"，将三大能力域进一步细化为可落地的能力层。

3.AIDR双域能力模型AIDR的总体能力结构由两大一级能力域构成：运行闭环能力和AI原生安全能力。两个能力域不可压缩为单一总分，因为它们分别衡量运营闭环能力和AI原生风险理解能力——一个产品可能具备完整的运行闭环但不理解AI特有风险，也可能理解AI风险但缺乏闭环能力，两者缺一不可。能力域核心问题对应能力层发现与认知域（Discovery&

Understanding）企业有哪些AI资产、智能体(Agent)、模型和运行关系？资产层、数据层、身份与权限层风险检测域（Risk

Detection）AI运行过程中有哪些安全风险？语义层、行为层控制与响应域（Control

&

Response）风险发生后如何治理并验证效果？响应与取证层3.1AIDR运行闭环能力运行闭环能力描述AIDR从发现到验证的完整流程能力。从

Protect

IT到

ProtectAI

19

AIDR白皮书AI资产发现是运行闭环的起点。AIDR需要持续发现企业环境中的AI资产——从员工使用的公共AISaaS到企业自建的AI应用，从部署的模型到运行的Agent

，从配置的MCPServer到接入的工具，从RAG知识库到AI身份凭据——并构建资产关系图谱，为后续检测和响应提供基础。运行时检测是运行闭环的核心。AIDR需要对AI交互与执行过程实施持续检测，覆盖语义风险（如Prompt注入和越狱）、数据风险（如敏感数据外泄）、工具越权（如未经授权的API调用）、

MCP风险（如恶意MCPServer）、身份滥用（如Token窃取）和异常Agent行为（如执行循环和资源耗尽）等多类风险，并能将多个风险信号关联为攻击链。响应与调查是运行闭环的终点。AIDR需要重建安全事件的时间线和故事线，关联Prompt、Agent、Tool、身份、数据和执行结果，定位根因和责任归属，并执行会话阻断、撤权、隔离、工具禁用等响应动作，最终通过闭环验证确认风险收敛。3.2AI原生安全能力AI原生安全能力描述AIDR对AI特有风险的理解和防护能力。能力定义关键能力项语义安全（Semantic

Security）保护Prompt、

Response、Context和Planning直接/间接注入、越狱、上下文操纵、目标劫持、多模态注入和危险输出数据保护（Data

Protection）保护AI系统输入、检索、记忆和输出的数据Prompt

DLP、上传检查、

RAG权限、

Memory隔离、知识审计、脱敏和数据流追踪身份治理（Identity

Governance）治理User、Agent、Tool、

MCP

与NHI的身份和权限身份发现、Token/Secret、OAuth、最小权限、权限图谱、委托链和权限撤销能力定义关键能力项AI资产发现（AIAsset

Discovery）发现AI资产、依赖、身份和暴露面AISaaS、应用、模型、Agent、

MCP、

Tool、工作负载、

RAG、凭据运行时检测（Runtime

Detection）对AI交互与执行过程实施持续检测语义风险、数据风险、Tool越权、

MCP风险、身份滥用、异常Agent行为和攻击链响应与调查（Response

&

Investigation）重建事件并实施多控制点响应时间线、故事线、证据、根因、会话阻断、撤权、隔离、工具禁用和闭环验证语义安全保护AI系统的交互层。

Prompt注入是AI安全最典型的攻击手法——攻击者通过在输入中嵌入恶意指令，操纵模型的行为优先级，使Agent偏离原始目标。语义安全能力需要检测直接注入、间接注入（通过外部内容注入）、越狱（绕过安全策略）、上下文操纵、目标劫持和多模态注入，并阻止危险输出。…20

从

Protect

IT到

ProtectAIAIDR白皮书数据保护覆盖AI系统的数据全生命周期。从用户输入的Prompt中可能包含的敏感信息，到文件上传中的机密文档，到RAG知识库中的分类分级数据，到Agent长期记忆中的用户偏好，再到模型输出中的泄露内容——AIDR需要在每个环节实施数据保护，包括Prompt

DLP、文件上传检查、

RAG权限控制、

Memory隔离、知识审计、脱敏和数据流追踪。身份治理是AI安全的基础设施。AI系统中存在大量非人身份（NHI）——Agent身份、服务账号、API客户端和自动化身份——它们持有Token、

Secret和OAuth凭据，可以访问企业数据和执行操作。AIDR需要发现这些身份，管理其权限和委托链，构建权限图谱，并在发现滥用时执行权限撤销。委托链（Delegation）是AI身份治理的关键概念：用户委托Agent

，Agent委托子Agent

，子Agent委托MCPServer——这条委托链上的每一环都可能被滥用，AIDR需要全程追踪和验证。 4.AIDR六层产品能力模型六层产品能力模型是AIDR面向产品和客户的能力视图，定义一个AIDR产品应解决的六类核心问题。从

Protect

IT到

ProtectAI

21

AIDR白皮书资产层回答"企业有哪些AI资产"。这包括影子AI（员工未经授权使用的公共AI服务）、企业AISaaS订阅、自建AI应用、部署的模型、运行的Agent、配置的MCPServer和工具、

RAG知识库以及AI供应链信息。AI供应链信息描述模型、组件、数据、依赖和供应链关系的清单，使企业能够追踪AI系统的供应链安全。语义层回答"AI表达了什么任务目标，是否存在语义安全风险？

"。这一层检测Prompt注入、Jailbreak、

间接注入、上下文污染、目标劫持、危险输出和多模态注入等语义层面的安全风险。语义层是AI安全区别于传统IT安全的核心——传统安全产品无法理解提示词的含义和模型的任务目标。数据层回答"哪些数据进入、流经或离开AI系统"。从Prompt中的敏感信息到文件上传中的机密文档，从RAG检索的分类数据到Memory存储的用户偏好，从Vector

DB中的知识到模型输出的内容——数据层保

护AI系统全链路的数据安全。行为层回答"Agent实际执行了什么"。Agent的行为包括会话（Session）、规划（Planning）、工具调用（ToolCall）、浏览器操作（Browser）、代码执行（Python/Shell）、文件系统访问（Filesystem）、数据库操作（Database）、API调用、工作流编排（Workflow）、

MCP交互和高危动作。行为层是检测Agent越权和自主行为失控的关键。身份与权限层回答"谁授权了Agent

，

它能访问什么"。AI系统中的身份包括用户（User）、Agent、工具（Tool）、

MCP、非人身份（NHI）、API

Key、Token、OAuth凭据、

Secret和服务账号。权限图谱和委托（Delegation）是这一层的核心概念——AIDR需要构建完整的权限图谱，追踪委托链，并在发现滥用时执行权限撤销。响应与取证层回答"如何判断、阻断、复盘并验证"。这一层包括告警归并、风险排序、事件故事线、调用链、证据管理、会话阻断、工具禁用、撤权、隔离、SOAR联动、工单闭环和三态验证。三态验证是AIDR闭环能力的标志——每个响应动作都经历"已下发→待验证→已确认"三个状态，确保风险真正收敛。能力层核心问题能力范围资产层企业有哪些AI资产？ShadowAI、AISaaS、模型、Agent、

MCP、Tool、

RAG、资产关系、暴露面和风险标签语义层用户、Agent和模型表达了什么任务目标，是否存在语义安全风险？Prompt

Injection、Jailbreak、间接注入、上下文污染、目标劫持、危险输出和多模态检测数据层哪些数据进入、流经或离开AI系统？Prompt

DLP、文件上传、敏感数据、脱敏、

RAG、

Memory、Vector

DB、知识访问和输出保护行为层Agent实际执行了什么？Session、ToolCall、

Browser、

Python、

Shell、Filesystem、

Database、API、Workflow、

MCP和高危动作身份与权限层谁授权了Agent，它能访问什么？User、Agent、Tool、

MCP、

NHI、API

Key、Token、

OAuth、

Secret、

ServiceAccount、权限图谱和委托（Delegation）响应与取证层如何判断、阻断、复盘并验证？告警归并、风险排序、故事线、调用链、证据、会话阻断、工具禁用、撤权、隔离、

SOAR、工单和三态验证…22

从

Protect

IT到

ProtectAIAIDR白皮书如何阻断——发现Agent正在执行高危操作时，如何立即停止它？传统安全产品的阻断手段（阻断网络连接、隔离终端）无法精确到Agent会话级别。如何追责——AI安全事件发生后，如何重建完整攻击链？如何确定是哪个Agent、在哪个Session、通过什么路径执行了什么操作？传统日志无法关联AI特有的语义、规划和委托链等遥测信号。如何验证——执行了响应动作后，如何确认风险已经收敛？传统安全产品执行阻断后缺乏验证机制，无法确认响应是否真正生效。AI资产的不可见性是所有安全风险的根源。如果安全团队连"企业有哪些AI资产"都无法回答，后续的检测、响应和闭环就无从谈起。传统资产发现工具只能盘点服务器、终端和网络设备，无法识别AI应用、Agent、模型和工具链等AI原生对象。1.2AI行为不可控：企业无法理解AI正在执行什么即使企业发现了AI资产，面临的第二个问题是看不懂。安全团队无法判断：Agent干了什么——Agent的完整执行过程，包括它基于什么上下文做决策、调用什么工具、使用什么身份以及访问哪些数据。是否越权——Agent的工具调用和数据访问是否超出了其业务需要的权限范围？是否泄露数据——Agent是否在处理用户请求的过程中将敏感数据发送到了外部？谁在用AI——哪些员工、哪些部门在使用公共AI服务或自建AI应用？使用什么Agent、调用了什么模型——企业内部运行了多少Agent？它们分别连接了哪些模型和工具？连接哪些数据——这些AI应用和Agent访问了哪些企业数据？数据流向了哪里？

1.为什么企业需要AIDR随着AI应用在企业中的深入部署，安全团队面临三个递进层面的挑战。这三个层面构成了企业AI安全建设的核心驱动力——每一个层面的问题，传统安全工具都无法有效解决。AI行为的不可控性源于AI系统的自主决策特征。传统应用的行为是确定性的——代码写定了做什么就会做什么；而Agent的行为是非确定性的——它根据上下文自主规划和执行，同一个Agent在不同输入下可能做出完全不同的操作。这使得传统的应用行为监控和策略控制方法部分失效。1.3AI风险无法闭环：发现问题但无法响应即使企业检测到了AI安全风险，面临的第三个问题是管不住。安全团队无法完成：1.1AI资产不可见：企业不知道自己的AI环境企业AI普及后面临的第一个问题是看不见。安全团队无法准确回答：从

Protect

IT到

ProtectAI

23

企业AIDR建设路径AIDR白皮书AIDR建设不是一步到位的工程，而是一个渐进式演进的过程。企业应根据自身AI成熟度、现有安全控制点和风险优先级，分阶段构建AIDR能力。2.1建设原则AIDR建设应遵循以下核心原则：用完整模型定义方向：以AIDR参考模型的完整能力体系为目标状态，确保建设方向不偏离，避免陷入单点产品堆叠。用MVP控制范围：以最小可行产品（MVP）控制每个阶段的范围，优先解决最高频、最高价值的风险场景，避免大而全导致无法落地。用统一平台形成闭环：以统一检测响应中枢为核心，确保发现、检测、调查、响应和验证形成闭环，而非多个独立工具的告警堆砌。用现有控制点降低投入：优先复用已有的终端、网络、云、浏览器和身份等安全控制点，通过增加AI遥测能力扩展其保护范围，降低建设成本。用可验证指标证明能力：以检测准确率、响应时效、闭环验证通过率等工程指标衡量AIDR能力成熟度，而非仅以功能清单覆盖度自证。最小采集与分级取证：默认采集元数据和行为摘要，完整内容仅在授权调查时按流程启用，员工告知与合规审查先行阶段价值主张优先能力主要交付结果阶段1：可见与可审计看得见、分得清ShadowAI发现、AI资产台账、多源去重、基础Agent行为记录、

Prompt/Response日志可信资产台账、证据链和基础审计能力阶段2：可判断与有限控制判得准Prompt

Injection检测、数据外发监控、

RAG访问审计、Tool调用监控、高危动作检测、风险评分、脱敏和会话控制可解释风险优先级和有限阻断能力阶段3：身份与执行闭环管得住Agent

Identity管理、

NHI治理、Token和委

托链管控、工具权限管理、Agent

KillSwitch、攻击链关联身份、执行和响应闭环能力阶段4：自适应运营持续优化跨Agent关联、长期行为基线、自动策略优化、自适应响应、攻击模拟和运营度量统一AI安全运营平台这三个层面的问题——看不见、看不懂、管不住——构成了企业AI安全的完整挑战链。AIDR正是为解决这三个层面的问题而设计：以资产持续发现解决"看不见"

，以AI原生检测解决"看不懂"，以调查响应闭环解决"管不住"。

2.企业AIDR建设路线渐进式阻断是贯穿各阶段的关键策略——从观察、审计、提醒逐步演进到高危阻断和自动化策略，避免误报破坏业务连续性。企业应在每个阶段结束时通过概念验证（PoC）用例验证能力成熟度，确认达标后再进入下一阶段。2.2分阶段演进AIDR建设建议按以下阶段逐步推进，每个阶段对应明确的价值主张和能力目标：…24

从

Protect

IT到

ProtectAIAIDR白皮书周次验证目标关键活动成功指标第1周：AI资产发现回答"企业有哪些AI资产"部署终端Agent和网络检测，发现ShadowAI使用，建立AI资产台账，识别未授权AI应用AI资产发现覆盖率≥90%，

ShadowAI识别数量第2周：Prompt风险检测回答"AI交互中有

什么风险"启用Prompt

DLP，检测敏感数据上传，识别

Prompt

Injection尝试，监控RAG访问敏感数据泄露事件检出数，

Prompt

Injection拦截率第3周：Agent行为分析回答"Agent执行

了什么"监控Agent

Session和ToolCall，检测高危动作，分析权限范围，识别异常委托链Agent行为审计覆盖率，高危动作告警数第4周：响应闭环验证回答"能否阻断并

验证"配置响应策略，执行会话阻断和工具禁用，验证三态闭环，生成事件故事线响应闭环验证通过率

≥80%，平均响应时效2.3

30天AIDR验证计划（PoC路径）对于希望快速验证AIDR价值的企业，亚信建议通过30天PoC（概念验证）路径，在真实环境中验证AIDR核心能力。以下为建议的4周验证计划：30天PoC不追求覆盖AIDR全部能力，而是验证最小闭环——从发现到响应的完整流程是否跑通，为后续全面建设提供信心和依据。01成功发现企业环境中全部（或≥90%）AI应用和Agent使用情况03演示完整的检测→调查→响应→验证闭环02至少识别并验证1个真实AI安全风险场景04输出AIDR能力评估报告和建设路线建议从

Protect

IT到

ProtectAI

25

PoC成功标准：AIDR白皮书场景对应能力层AIDR价值阶段ShadowAI导致企业AI资产不可见资产层看得见→分得清员工使用公共AI导致敏感数据泄露数据层

+语义层分得清→管得住RAG知识投毒与Prompt

Injection语义层

+数据层

+行为层判得准→管得住恶意AI应用或Agent窃取企业信息行为层

+身份与权限层判得准→管得住Agent身份失控与多Agent委托链越权身份与权限层判得准→管得住Agent运行异常导致业务失控行为层

+响应与取证层判得准→管得住AI攻击链调查与自动响应响应与取证层（综合闭环）管理住（综合闭环）场景描述：企业大量使用AI应用、Agent和外部模型后，安全团队无法掌握谁在使用AI、使用哪些Agent、连接哪些数据。员工私自使用公共AI处理业务文档，部门私自部署AIAgent

，外部Agent连接企业数据。攻击路径：1.员工将商业文档、源代码上传至公共AISaaS（如ChatGPT、文心一言）2.开发团队调用外部模型API集成到内部应用3.业务部门私自部署AIAgent处理客户数据4.以上所有AI使用行为均未经安全团队授权或审计本章以AIDR六层能力模型为主线，选取代表性威胁场景，展示AIDR如何覆盖AI资产发现、语义安全、数据保护、Agent行为检测、身份治理以及响应取证，形成从发现、检测到响应的完整闭环。场景与六层能力模型对照对应能力层：资产层（Asset

Layer）AIDR价值阶段：看得见→分得清

1.ShadowAI导致企业AI资产不可见与数据风险…26

从

Protect

IT到

ProtectAIAI原生威胁场景AIDR白皮书3.关联分析：将AI资产、使用者、数据流向关联为统一视图响应动作：纳入管理台账、限制未授权AI访问、对高风险数据外泄执行阻断、生成审计报告AIDR价值：解决AI时代第一个基础问题——企业需要先知道有哪些AI资产，才能进行安全管理。传统资产发现工具只能盘点IT设备，无法识别AI原生对象。AIDR以多源遥测和统一中枢实现AI资产的全面发现和持续监控，是安全闭环的起点。

2.员工使用公共AI导致敏感数据泄露关键证据：1.AI应用访问域名和流量（网络层遥测）2.员工身份与AI使用的关联（终端Agent遥测）3.上传内容中的敏感数据（数据层检测）4.AI应用来源和可信度（资产层分析）AIDR检测：1.资产层：多源发现（终端+网络+浏览器）AI应用使用，自动去重归并，构建AI资产台账，标注来源、可信度和风险标签2.数据层：

Prompt

DLP检测上传内容中的敏感信息模型环境，可能被长期保存或泄露。攻击路径：1.员工在ChatGPT对话框中粘贴源代码请求Bug修复2.员工上传客户名单请求AI生成分析报告3.敏感数据进入第三方AI服务处理或留存范围4.数据无法撤回，存在长期泄露风险关键证据：1.

Prompt和输入内容中的敏感信息（源代码指纹、客户数据特征）2.上传文件类型和内容分类分级3.AI服务风险评估（数据留存策略、隐私条款）4.数据流向（发往哪个AI服务、是否经过脱敏）场景描述：员工为提升工作效率，将商业文档、源代码、客户资料和内部报告上传到公共AI服务，敏感数据进入未知对应能力层：数据层（Data

Layer）

+语义层（Semantic

Layer）AIDR价值阶段：分得清→管得住从

Protect

IT到

ProtectAI

27

AIDR白皮书攻击者通过恶意文档或Prompt

Injection影响Agent上下文，使Agent偏离原始目标并调用高风险工具。场景描述：攻击者通过恶意文档或Prompt

Injection影响Agent上下文，使Agent偏离原始目标并调用高风险工具，导致数据泄露或越权操作。这是AI安全最具代表性的复合攻击场景。攻击路径：1.攻击者将含有隐藏指令的文档写入企业RAG知识库（间接注入）2.或攻击者通过精心构造的用户输入直接注入恶意指令（直接注入）3.恶意指令进入Agent上下文，操纵Agent规划4.Agent目标偏移：从"执行用户业务请求"变为"调用高权限数据导出工具"5.Agent执行越权工具调用，将敏感数据发送到外部根据策略执行阻断上传、数据脱敏、替换敏感字段或审计记录AIDR价值：实现AI数据使用过程的可见、可控和可追溯。传统DLP检测的是文件传输和邮件外发，不理解Prompt内容的敏感性。AIDR的Prompt

DLP能识别AI对话框中的源代码和工程数据，在数据进入AI服务前实施保护。三星代码泄露事件正是此类场景的典型——传统DLP未触发任何告警。

3.

RAG知识投毒与Prompt

Injection导致Agent错误决策AIDR检测：1.数据层：

Prompt

DLP识别输入内容中的源代码、客户数据和商业机密2.语义层：判断数据敏感级别和使用场景风险3.关联分析：关联用户身份、设备、AI服务和数据内容，生成数据泄露告警响应动作：关键证据：1.文档来源和入库时间（谁在何时写入投毒文档）2.

RAG查询与命中文档（哪个查询触发了检索）3.上下文变化（恶意指令何时进入Agent上下文）4.Agent规划记录（目标何时发生偏移）5.工具调用参数（调用了什么工具、传了什么参数）6.外传连接（数据发往何处）对应能力层：语义层（Semantic

Layer）

+数据层（Data

Layer）

+行为层（Behavior

Layer）AIDR价值阶段：判得准→管得住…28

从

Protect

IT到

ProtectAIAIDR白皮书场景描述：企业接入的第三方AI应用、Agent、

Skill或插件利用合法身份访问敏感数据并进行外泄。这类威胁源于AI应用供应链——开源组件被植入恶意逻辑、恶意Agent伪装成合法工具、技能更新版本被篡改。攻击路径：1.Agent接入来源不可信的第三方AI应用/Skill/插件2.该应用的功能声明宣称只提供普通查询能力3.实际运行中，应用读取环境变量、配置文件和Secret4.将窃取的数据通过异常域名外传关键证据：1.AI应用来源和证书信息（从哪里来、是否可信）2.功能声明与实际行为差异（声明查询vs实际读取Secret）3.环境变量和敏感路径访问记录4.委托链信息（Agent如何委托给该应用）5.

网络目的地（数据外传去向）AIDR检测：1.语义层：知识源信誉评估、内容注入检测（文档中是否包含隐藏指令）2.行为层：规划偏移检测（Agent目标是否异常变化）、高危工具参数检测3.身份与权限层：权限与任务不一致检测（工具权限是否超出任务需要）4.关联分析：将知识源→

RAG检索→上下文变化→Agent规划→工具调用关联为完整攻击链响应动作：阻断Tool调用、终止Session、

隔离污染知识源、撤销临时Token、生成攻击链分析AIDR价值：关联知识、上下文、Agent行为和工具调用，发现完整攻击链。传统LLM

Firewall只在Prompt入口检测语义风险，无法发现通过RAG间接注入的恶意指令；AI-SPM只做资产盘点，无法在运行时检测。完整AIDR能将多维度信号关联为完整攻击链并在多个环节实施阻断。 4.恶意AI应用或Agent窃取企业信息对应能力层：行为层（Behavior

Layer）

+身份与权限层（Identity

Layer）A