AIDR（AI检测与响应）白皮书

AIDR(AI检测与响应)白皮书从ProtectIT到ProtectAl面向AI与Agent运行时的新一代检测响应体系从ProtectIT到ProtectAI面向AI与Agent运行时的新一代检测响应体系发布单位亚网络安全究院 | 日期年9月编写单位：亚信网络安全研究院编委会： 魏凯（中信通院）、石霖（国信通院）史光、冯佳坤、光辉、凌杰、曹攀董目录前言 第一章第二章

AI时代安全挑战：从ProtectIT到ProtectAI AIDR定义与关键能力 第三章AIDR能力模型 18第四章企业AIDR建设路径 23第五章AI原生威胁场景 26第六章AIDR产业格局与中国企业现实挑战 34第七章亚信AIDR战略优势 36第八章总结与展望:迈向可信、可控的AI时代 39附录 42前言人工智能正在重塑企业计算模式。随着大语言模型走向生产、Agent进入自动化业务流程、MCP等协议连接更多工具和数据，Model-Tool-DataAI不再只是被调用的工具，而正在成为能够规划、调用、访问和执行的运行主体。这使安全保护对象从IT基础设施进一步扩展到AI系统。过去企业安全建设的核心命题是ProtectIT——保护终端、网络、云和工作负载；AI时代则需要进一步回答ProtectAI——如何保护AI应用、模型、Agent、工具链、知识系统和身份凭据，并持续理解其运行行为。现有AI-SPM、AIGateway、LLMFirewall、AIDLP等能力分别解决资产、入口、语义或数据等局部问题，但企业仍缺少一套面向AI运行时的持续发现、检测、调查与响应体系。本白皮书以亚信AIDR参考模型为基础，提出面向AIRuntime的检测与响应框架，为CIO/CISO、安全管理者和AI基础设施建设者提供参考。免责声明：本白皮书用于技术与架构研究参考，不同法规的适用范围和产品能力应结合具体业务环境独立评估。从ProtectIT到ProtectAIAIDR白皮书

AI时代安全挑战从ProtectIT到ProtectAIITAIAgent核心判断：保护对象变了，安全能力体系也必须随之扩展。AIDR不是替代EDR/XDR，而是把“持续遥测-检测-调查-响应”范式进一步延伸到AI原生对象与AI运行过程。核心判断：保护对象变了，安全能力体系也必须随之扩展。AIDR不是替代EDR/XDR，而是把“持续遥测-检测-调查-响应”范式进一步延伸到AI原生对象与AI运行过程。AI传统应用的执行路径相对确定：用户通过应用和API访问后端服务与数据，边界、身份和权限较为清晰。AIAgent则可以基于上下文自主规划，调用模型、RAG、MCP、外部API、Browser、Shell等工具并完AgentAI正在快速进入企业生产环境，但AI应用速度与安全治理能力之间存在明显落差。AIAI2024IndexAI78AI工具Shadow成为重Gartner202680AI20232024AIThreatLandscapeReportAIAIGartnerAI5Applications2025PromptInjectionAgentAIDR白皮书AIAIAIAIITAgentAIRuntime等新AIAIAIAIAgentInjectionAI（NHI）典型事件风险表现暴露的传统安全不足AIDR关注点三星电子ChatGPT代码泄露（2023）员工将源代码、设备数据和内部会议内容提交至公共AI服务未覆盖GenAI交互入口的DLP/网络监控难以理解Prompt中的敏感内容资产发现+PromptDLP+语义判断+阻断/脱敏Microsoft365Copilot权限继承与数据过度暴露（Oversharing）风险AI继承现有权限后可能汇总并暴露组织敏感信息静态IAM难以理解Agent的动态检索、汇总和输出过程身份/权限追踪+行为监测+敏感输出保护AnthropicAgent安全评测中访问真实网络事件（2026）安全评测环境出现操作/配置问题并意外提供真实互联网访问时，Agent继续执行测试任务并访问了真实企业系统。静态网络策略难以理解Agent的目标偏移与动态执行意图规划/行为监测+网络控制+审计与响应AI时代的保护对象从传统IT资产扩展到AI应用、模型、Agent、工具、上下文、知识、身份和运行环境。亚信AIDR参考模型将其归纳为八类：对象类别典型对象关键安全问题AI应用与服务公共AISaaS、企业自建AI应用、Agent平台ShadowAI使用、暴露、策略绕过模型与供应链基础模型、微调模型、推理镜像、依赖组件来源不可信、篡改、恶意模型Agent与工作流单Agent、多Agent、Planner、Workflow、Skill目标劫持、行为越权、自动化扩散MCP与工具MCPClient/Server、Tool、Browser、Shell恶意工具、工具投毒、越权调用交互与上下文Prompt、Response、Context、多模态输入注入、越狱、上下文污染知识与记忆RAG、Memory、VectorDB、知识图谱敏感知识泄露、投毒、跨租户访问身份与凭据User、AgentIdentity、NHI、Token、Secret身份冒用、过度授权、委托链滥用运行环境终端、服务器、容器、云、网络传统漏洞、主机入侵、配置风险这些对象并非都在AI时代首次出现，但AI使其成为需要被独立观察、关联和控制的一等安全对象。传统安全控制仍然重要，但仅依赖既有IT遥测难以完整理解AI原生语义、身份和执行上下文。核心矛盾在于：AI系统是语义驱动的动态执行体，仅依赖IOC、静态特征和传统规则不足以应对其风核心矛盾在于：AI系统是语义驱动的动态执行体，仅依赖IOC、静态特征和传统规则不足以应对其风险，需要叠加语义、上下文、身份和行为分析，并通过统一中枢形成检测响应闭环。AIDR白皮书AIPromptInjectionAIAgentAIDR因此需要同时观察四类运行证据：主体（User/Agent/NHI）、上下文AIDR因此需要同时观察四类运行证据：主体（User/Agent/NHI）、上下文（Prompt/Response/Memory）、执行（AgentPlanning/Tool/MCP/API）和结果（数据流向、外部连接、执行结果）。只有把“意图-权限-行为-结果”放在同一事件上下文中，才能判断AI运行风险。构成要素关键证据主要风险主体用户、Agent、子Agent、NHI、服务账号身份冒用、越权、多跳委托失控上下文Prompt、Response、系统指令、记忆Prompt注入、目标劫持、知识/记忆污染执行规划、ToolCall、MCP、API、命令工具滥用、危险自主行为、资源耗尽结果数据流向、执行结果、外部连接数据外泄、错误变更、横向访问AI时代问题并不是传统安全产品“失效”，而是其原始遥测与检测模型主要面向IT对象，缺少AI原生语义和运行上下文。AIDR需要在现有EDR/XDR、DLP、IAM和网络安全能力之上增加新的观察与关联能力。现有能力AI时代的主要缺口AIDR需要补充EDR/XDR可看到进程、网络和跨域事件，但缺少Prompt、Planning、Tool等AI上下文AI原生遥测+AI/IT事件关联DLP若未覆盖GenAI交互入口，难以识别Prompt、工具参数等新型数据流Prompt/Response、RAG、Memory数据保护IAM/PAM擅长管理静态用户/账号权限，但对Agent/NHI和动态委托链支持不足AgentIdentity、NHI、委托链与动态权限AIGateway/LLMFirewall擅长入口语义与访问控制，但视野通常集中在模型交互链路Agent执行、端点/云行为、跨域调查与响应AIAgentAIAIAIAgentIdentityRuntimeAI安全：技术路线主要优势需要进一步补充AI-SPM型AI资产发现、配置和风险态势Runtime检测、调查与响应Gateway/Runtime型Prompt、Model、API和交互入口控制Endpoint及传统IT攻击链关联Endpoint/XDR型执行行为、传统安全遥测、调查响应AI语义及SaaS/Agent原生遥测AgentSecurity型Agent行为、Tool调用和运行时控制跨域资产、数据和SOC整合AIAIAIDRAIAI安全同时受到合规治理和企业工程环境的双重驱动。对于政府、央国企、金融、运营商及关键基础设施等大型和强监管行业，AI系统需要重点考虑数据安全、内容安全、身份权限、日志审计和业务连续性。说明：不同法规的具体适用范围取决于业务场景、部署方式和数据类型。以下映射用于说明AIDR可提供的技术支撑，不构成法律意见。中国已经形成覆盖网络安全、数据安全、个人信息保护和生成式AI治理的监管框架，核心要求可归纳如下：法规/标准核心安全要求AIDR可提供的技术支撑《生成式人工智能服务管理暂行办法》内容安全、训练数据来源、算法与模型安全评估、风险处置AI资产发现、语义安全检测、数据来源审计、事件追踪《数据安全法》数据分类分级、重要数据保护、风险评估、数据流转控制PromptDLP、敏感数据识别、数据流追踪访问控制《个人信息保护法》个人信息合法处理、敏感信息保护、自动化决策透明性敏感信息识别、脱敏、访问审计、AI输出风险检测《网络安全法》及等保2.0网络攻击防护、日志留存、事件追溯、安全审计Runtime检测、日志留存、事件调查、证据链管理《算法推荐管理规定》算法备案、风险评估、科技伦理和运行管理AI资产台账、模型/Agent登记、策略与审计管理监管要求表明，企业AI安全需要从单点过滤逐步走向覆盖资产、交互、数据、身份、行为和响应的持监管要求表明，企业AI安全需要从单点过滤逐步走向覆盖资产、交互、数据、身份、行为和响应的持续安全能力。AI除监管要求外，中国大型企业的AI部署环境还具有较强的本地化、异构化和复杂性，形成四类典型实践要求：实践要求核心含义AIDR支撑本地可控Prompt、Session、日志和敏感数据支持本地采集、检测和存储数据保护、本地遥测与响应开放适配兼容国产/自研模型、Agent平台、私有云和多网络环境多控制点采集、统一对象模型全程可审计能追踪用户、Agent、身份、工具调用和数据访问全过程身份、行为、证据链与调查业务连续支持观察、灰度和分级响应，避免安全控制影响生产风险评分、策略编排、响应验证这四类要求意味着，中国大型企业需要的AIDR不能只是一个云端AI安全服务，而应具备本地部署、多这四类要求意味着，中国大型企业需要的AIDR不能只是一个云端AI安全服务，而应具备本地部署、多源遥测、AI与IT统一关联、可审计和可持续运营能力。AIDR监管要求和企业实践共同推动AI安全从“单点防护”走向“持续检测响应”。AIDR通过连接资产、语义、数据、行为、身份和响应能力，使企业能够实现AI资产可见、AI行为可理解、AI风险可追溯、响应结果可验证。ProtectAIProtectAI的目标不是限制AI创新，而是让AI能够在安全、合规和业务连续的前提下进入生产环境并持续运行。从产业演进来看，AI安全正在从分散的单点防护能力走向面向AIRuntime的体系化检测与响应。那么，这套新的检测响应体系究竟应该保护什么、如何运行、具备哪些基本能力？这正是AIDR需要回答的问题。AIDR定义与关键能力1.品类定义AIDRAIDR（AIDetection&Response）是面向AI与Agent运行时的新一代检测与响应体系。AIDR通过持续发现AI资产，观测Prompt、Agent、Tool、Identity、Data等AI运行时对象与行为，识别AI原生风险，关联AI与IT安全事件并实施响应，保障AI系统运行安全、可控和可追溯。AIDR是AI时代继EDR/XDR之后，面向AIRuntime的新一代检测与响应安全品类。AIAI运行AgentAIDRAIAIDRAIMCPAgentAI一个类比可以说明AIDR的品类定位：EDR保护EndpointRuntimeXDR保护EDR保护EndpointRuntimeXDR保护ITRuntimeAIDR保护AIRuntimeAIDR并非依赖某一种单点安全技术，而是通过AI原生遥测、统一上下文建模、多维风险检测、跨域事件关联和响应验证等技术能力，将AI原生安全与传统IT安全连接为完整检测响应闭环。关键技术能力核心作用与六层模型关系AI原生遥测与持续可观测持续采集Prompt、Session、Agent、、MCP、Identity、Data及Runtime行为资产、数据、行为、身份AI对象与运行上下文统一建模关联User、Agent、Model、Tool、Identity、Data与传统IT资产，形成统一运行上下文六层共同基础多维AI风险联合检测联合分析语义、数据、身份和实际执行行为，判断注入、泄露、越权及异常执行语义、数据、行为、身份AI与IT攻击链关联调查将AI原生事件与Endpoint、Network、Cloud等传统遥测关联，重建完整事件故事线行为、响应与取证跨控制点响应与闭环验证在会话、工具、身份、终端、网络等位置实施响应，并验证风险是否真正收敛响应与取证五项关键技术能力回答“AIDR如何实现”，六层产品能力模型回答“AIDR需要具备什么能力”。二者共同构成AIDR从技术机制到产品能力的完整体系。五项关键技术能力回答“AIDR如何实现”，六层产品能力模型回答“AIDR需要具备什么能力”。二者共同构成AIDR从技术机制到产品能力的完整体系。AIDR的核心任务遵循六阶段闭环模型，从资产发现到响应验证形成完整流程。阶段定义关键产出发现（Discover）持续发现AI资产、身份、依赖、暴露面与控制点资产台账、关系图谱、可信度和风险标签观察（Observe）采集交互、执行、知识访问、身份与基础设施遥测统一事件、Trace、Session和证据链检测（Detect）识别语义、数据、身份、行为、供应链和服务攻击风险告警、风险评分和检测证据调查（Investigate）关联Prompt、Agent、Tool、身份、数据和执行结果事件故事线、根因、责任归属和攻击链响应（Respond）执行会话、工具、身份、终端、网络和工单处置阻断、撤权、隔离、脱敏和修复动作验证（Verify）确认处置动作已执行且风险已收敛三态验证、闭环率和残余风险AIDRAI（），AI系统SessionAIDR为了帮助企业理解AIDR建设范围，完整能力可以拆解为：价值阶段范围能力看见发现AI应用、Agent、模型、MCP、Tool、身份看懂关联Prompt、Session、ToolCall、数据访问和身份关系，形成AI运行上下文判断识别PromptInjection、数据泄露、Agent越权、身份滥用控制执行阻断、撤权、隔离、KillSwitch验证确认风险是否消除、权限是否恢复、事件是否闭环企业建设AIDR不要求一次覆盖全部能力，但必须明确保护范围，并在目标场景形成最小检测响应闭环。AIDR一个产品或解决方案若要构成AIDR，至少应具备以下四类能力：AIAI六层能力模型定义完整AIDR的目标能力边界，而最小闭环定义AIDR成立的基本条件。仅具备资产发现、Prompt过滤、数据防泄漏或单点Gateway能力，不构成完整的AIDR检测响应体系。AIDR为ProtectAI时代的企业安全提供四阶段价值闭环。价值阶段要回答的问题主要结果看得见企业有哪些AI资产、Agent、模型、MCP、工具和身份？AI资产台账、关系图谱、暴露面和可信证据分得清哪些是授权资产、影子资产、核心服务、依赖组件和异常行为？资产分类、归属、去重、可信度和行为上下文判得准哪些风险真正重要，来自语义、数据、身份还是执行行为？风险评分、事件关联、Top-N优先级和可解释判断管得住如何阻断、撤权、隔离、修复并验证结果？联动处置、工单闭环、响应验证和风险收敛AIDRAIAI"AIAIAgentMCPServerAIAIDR“分得清”：要求对发现的资产进行分类、去重和归属。同一个AI应用可能从终端、网络和浏览器多个来源被发现，AIDR需要将其归并为同一资产，并标注可信度、归属者和风险标签。AI“管得住”：是AIDR的最终价值。检测不是目的，闭环才是。AIDR需要能够执行会话阻断、数据脱敏、工具禁用、权限撤销和Agent紧急停止（KillSwitch）等响应动作，并通过验证确认风险收敛。与EDR/XDR的关系AIDR不是EDR/XDR的替代品，而是EDR/XDR范式在AI时代的扩展。三者之间的关系可以从五个维度理解。维度EDRXDRAIDR核心对象终端进程、文件、注册表终端、网络、云、身份等跨域遥测Prompt、Response、Agent、Tool、MCP、RAGMemory、NHI检测逻辑代码与行为跨域行为关联语义、数据、身份、任务上下文与执行行为联合检测核心遥测终端传感器多源安全日志AI交互日志、AgentSession、ToolCall、知识访问+传统安全遥测响应动作进程阻断、终端隔离跨域编排处置会话阻断、数据脱敏、工具禁用、权限撤销、AgentKillSwitch主要价值保护终端运行时统一安全运营保护AI与Agent运行时AIDRAIAgentMemoryKill。AIAIITRuntime，AIDRAIRuntime，两者协AIAI安全生态正在快速发展，多种品类并存。理解AIDR与相邻品类的边界，有助于企业明确建设路径和产品选型。品类主要关注与AIDR关系不足以构成AIDR的原因AI-SPMAI资产、配置风险、安全态势属于发现与治理能力缺乏运行时检测、调查和响应闭环AIGateway模型访问代理、认证、路由、限流是重要接入与控制形态看不到端点、Agent执行、身份图谱和跨域事件LLMFirewallPrompt/Response语义防护属于语义安全能力覆盖对象集中在交互链路，缺少完整资产、行为、身份和响应体系AIDLPAI使用过程中的敏感数据保护属于数据保护能力无法替代Agent行为、Tool/MCP、调查和响应AITRiSM治理、风险、信任、合规AIDR是偏运行时的产品化落地TRiSM是治理框架，不等同于可部署的检测响应产品ECP/AIEndpointSecurityAI终端环境、Agent客户端、插件、MCPServer、SkillAIDR的重要数据来源和执行控制点缺少跨域检测响应AIAgent执LLMAIDLP：保护AI使用过程中的敏感数据，但无法覆盖Agent行为、工具调用和委托链风险。AITRiSM：是Gartner提出的治理框架，AIDR可以为AITRiSM中的运行时安全监测、风险检测和响应治理提供技术支撑。ECP（EndpointControlandPrevention）：代表了AI时代端点安全控制能力的一种演进方向，其核心价值是在AI相关软件组件运行、工具调用和数据访问过程中提供风险识别与控制能力。AIDR=AIDR=运行闭环能力与AI原生安全能力的交集。只有局部护栏或局部发现，不构成完整AIDR。一个完整的AIDR产品需要同时具备运行闭环能力（资产发现、运行时检测、响应与调查）和AI原生安全能力（语义安全、数据保护、身份治理），并以统一中枢将两者关联、编排和闭环。18从18从IT到AIAIDR能力模型本章是白皮书的核心章节，系统阐述亚信AIDR参考模型的能力体系，包括三大能力域扩展模型、双域能力模型、六层产品能力模型、八平面技术参考架构以及两者的映射关系。AIDRAIDR：认知层次内容面向读者第一层：一句话定位AIDR=面向AI与Agent运行时的新一代检测与响应体系XDR保护ITRuntime，AIDR保护AIRuntimeC-Level决策者第二层：客户理解模型五动词闭环：看见→看懂→判断→控制→验证对应四阶段价值主张：看得见→分得清→判得准→管得住CISO/安全管理者第三层：技术实现模型六层产品能力模型：资产层、语义层、数据层、行为层、身份与权限层、响应与取证层安全架构师/产品团队八平面技术参考架构作为技术参考附录，面向架构和研发团队，非必读内容。读者可根据角色选择关注的认知层次。AIDR参考模型首先从战略视角将AI安全能力归纳为三大能力域，用于连接企业的安全需求表达与产品的能力建设。能力域核心问题对应能力层发现与认知域（Discovery&Understanding）企业有哪些AI资产、智能体(Agent)、模型和运行关系？资产层、数据层、身份与权限层风险检测域（RiskDetection）AI运行过程中有哪些安全风险？语义层、行为层控制与响应域（Control&Response）风险发生后如何治理并验证效果？响应与取证层AIDRAIAIAIAIAIDR运行闭环能力描述AIDR从发现到验证的完整流程能力。能力定义关键能力项AI资产发现（AIAssetDiscovery）发现AI资产、依赖、身份和暴露面AISaaS、应用、模型、Agent、MCP、Tool、工作负载、RAG、凭据运行时检测（RuntimeDetection）对AI交互与执行过程实施持续检测语义风险、数据风险、Tool越权、MCP风险、身份滥用、异常Agent行为和攻击链响应与调查（Response&Investigation）重建事件并实施多控制点响应时间线、故事线、证据、根因、会话阻断、撤权、隔离、工具禁用和闭环验证AIAIDRAIAI到AIMCPServerAIDRAI如Prompt））（API调用、风险如恶意MCPServer）（窃取Agent行为）Agent、AI原生安全能力描述AIDR对AI特有风险的理解和防护能力。能力定义关键能力项语义安全（SemanticSecurity）保护Prompt、Response、Context和Planning直接/多模态注入和危险输出数据保护（DataProtection）保护AI系统输入、检索、记忆和输出的数据PromptDLP、上传检查、RAG权限、Memory隔离、知识审计、脱敏和数据流追踪身份治理（IdentityGovernance）治理User、Agent、Tool、MCP与NHI的身份和权限身份发现、、OAuth、最小权限、权限图谱、委托链和权限撤销AIAIAgent（通过、越狱（）数据保护覆盖AI系统的数据全生命周期。从用户输入的Prompt中可能包含的敏感信息，到文件上传中的机密文档，到RAG知识库中的分类分级数据，到Agent长期记忆中的用户偏好，再到模型输出中的泄露内容——AIDR需要在每个环节实施数据保护，包括PromptDLP、文件上传检查、RAG权限控制、Memory隔离、知识审计、脱敏和数据流追踪。AIAIAPI客户AIDR需要发（Delegation）AIAgentMCPServer——这条委托AIDR六层产品能力模型是AIDR面向产品和客户的能力视图，定义一个AIDR产品应解决的六类核心问题。能力层核心问题能力范围资产层能力层核心问题能力范围资产层企业有哪些AI资产？ShadowAI、AISaaS、模型、Agent、MCP、Tool、RAG、资产关系、暴露面和风险标签语义层用户、Agent和模型表达了什么任务目标是否存在语义安全风险？PromptInjection、Jailbreak、间接注入、上下文污染、目标劫持、危险输出和多模态检测数据层哪些数据进入、流经或离开AI系统？PromptDLP、文件上传、敏感数据、脱敏、RAG、Memory、VectorDB、知识访问和输出保护行为层Agent实际执行了什么？Session、ToolCall、Browser、Python、Shell、Filesystem、Database、API、Workflow、MCP和高危动作身份与权限层谁授权了Agent，它能访问什么？User、Agent、、MCP、NHI、API、OAuth、Secret、ServiceAccount、权限图谱和委托（Delegation）响应与取证层如何判断、阻断、复盘并验证？SOAR、工单和三态验证AIAI（AI服务AI订阅、AIAgentMCPServerAIAIAIAIAIITAIMemoryDBAI行为层回答"Agent实际执行了什么"。Agent的行为包括会话（Session）、规划（Planning）、工具调用Call）（Python/Shell）（Filesystem）、API身份与权限层回答"谁授权了Agent，它能访问什么"。AI系统中的身份包括用户（User）、Agent、工具（NHI）API响应与取证层回答"如何判断、阻断、复盘并验证"。这一层包括告警归并、风险排序、事件故事线、调用链、证据管理、会话阻断、工具禁用、撤权、隔离、SOAR联动、工单闭环和三态验证。三态验证是AIDR闭环能力的标志——每个响应动作都经历"已下发→待验证→已确认"三个状态，确保风险真正收敛。AIDR白皮书

企业AIDR建设路径如何阻断——发现Agent正在执行高危操作时，如何立即停止它？传统安全产品的阻断手段（阻断网络连接、隔离终端）无法精确到Agent会话级别。如何追责——AI安全事件发生后，如何重建完整攻击链？如何确定是哪个Agent、在哪个Session、通过什么路径执行了什么操作？传统日志无法关联AI特有的语义、规划和委托链等遥测信号。如何阻断——发现Agent正在执行高危操作时，如何立即停止它？传统安全产品的阻断手段（阻断网络连接、隔离终端）无法精确到Agent会话级别。如何追责——AI安全事件发生后，如何重建完整攻击链？如何确定是哪个Agent、在哪个Session、通过什么路径执行了什么操作？传统日志无法关联AI特有的语义、规划和委托链等遥测信号。如何验证——执行了响应动作后，如何确认风险已经收敛？传统安全产品执行阻断后缺乏验证机制，无法确认响应是否真正生效。AIAI环境企业AI普及后面临的第一个问题是看不见。安全团队无法准确回答：谁在用谁在用AI——哪些员工、哪些部门在使用公共AI服务或自建AI应用？使用什么Agent、调用了什么模型——企业内部运行了多少Agent？它们分别连接了哪些模型和工具？连接哪些数据——这些AI应用和Agent访问了哪些企业数据？数据流向了哪里？AIAIAIAgent、AIAI即使企业发现了AI资产，面临的第二个问题是看不懂。安全团队无法判断：AgentAgent干了什么——Agent的完整执行过程，包括它基于什么上下文做决策、调用什么工具、使用什么身份以及访问哪些数据。是否越权——Agent的工具调用和数据访问是否超出了其业务需要的权限范围？是否泄露数据——Agent是否在处理用户请求的过程中将敏感数据发送到了外部？AIAIAgentAgent即使企业检测到了AI安全风险，面临的第三个问题是管不住。安全团队无法完成：AIAIDRAI建设路线AI能力。AIDR建设应遵循以下核心原则：用完整模型定义方向：以AIDR参考模型的完整能力体系为目标状态，确保建设方向不偏离，避免陷入单点产品堆叠。用MVP控制范围：以最小可行产品（MVP）控制每个阶段的范围，优先解决最高频、最高价值的风险场景，避免大而全导致无法落地。用统一平台形成闭环：以统一检测响应中枢为核心，确保发现、检测、调查、响应和验证形成闭环，而非多个独立工具的告警堆砌。用现有控制点降低投入：优先复用已有的终端、网络、云、浏览器和身份等安全控制点，通过增加AI遥测能力扩展其保护范围，降低建设成本。用可验证指标证明能力：以检测准确率、响应时效、闭环验证通过率等工程指标衡量AIDR能力成熟度，而非仅以功能清单覆盖度自证。最小采集与分级取证：默认采集元数据和行为摘要，完整内容仅在授权调查时按流程启用，员工告知与合规审查先行AIDR建设建议按以下阶段逐步推进，每个阶段对应明确的价值主张和能力目标：阶段价值主张优先能力主要交付结果阶段1：可见与可审计看得见、分得清ShadowAI发现、AI资产台账、多源去重、基础Agent行为记录、Prompt/Response日志可信资产台账、证据链和基础审计能力阶段2：可判断与有限控制判得准PromptInjection检测、数据外发监控、RAG访问审计、Tool调用监控、高危动作检测、风险评分、脱敏和会话控制可解释风险优先级和有限阻断能力阶段3：身份与执行闭环管得住AgentIdentity管理、NHI治理、Token和委托链管控、工具权限管理、AgentKillSwitch攻击链关联、身份、执行和响应闭环能力阶段4：自适应运营持续优化自适应响应、攻击模拟和运营度量统一AI安全运营平台AIDR白皮书路径）对于希望快速验证AIDR价值的企业，亚信建议通过30天PoC（概念验证）路径，在真实环境中验证AIDR核心能力。以下为建议的4周验证计划：周次验证目标关键活动周次验证目标关键活动成功指标第1周：AI资产发现回答"企业有哪些AI资产"部署终端Agent和网络检测，发现ShadowAI使用，建立AI资产台账，识别未授权AI应用AI资产发现覆盖率≥90%ShadowAI识别数量第2周：Prompt风险检测回答"AI交互中有什么风险"启用PromptDLP，检测敏感数据上传，识别PromptInjection尝试，监控RAG访问敏感数据泄露事件检出数，PromptInjection拦截率第3周：Agent行为分析回答"Agent执行了什么"监控AgentSession和ToolCall，检测高危动作，分析权限范围，识别异常委托链Agent行为审计覆盖率，高危动作告警数第4周：响应闭环验证回答"能否阻断并验证"配置响应策略，执行会话阻断和工具禁用，验证三态闭环，生成事件故事线响应闭环验证通过率≥80%，平均响应时效PoC成功标准：01成功发现企业环境中全部（或≥90%01成功发现企业环境中全部（或≥90%）AI应用和Agent使用情况02至少识别并验证1个真实AI安全风险场景03演示完整的检测→调查→响应→验证闭环04输出AIDR能力评估报告和建设路线建议30AI原生威胁场景本章以AIDR六层能力模型为主线，选取代表性威胁场景，展示AIDR如何覆盖AI资产发现、语义安全、数据保护、Agent行为检测、身份治理以及响应取证，形成从发现、检测到响应的完整闭环。场景与六层能力模型对照场景对应能力层AIDR价值阶段ShadowAI导致企业AI资产不可见资产层看得见→分得清员工使用公共AI导致敏感数据泄露数据层+语义层分得清→管得住RAG知识投毒与PromptInjection语义层+数据层+行为层判得准→管得住恶意AI应用或Agent窃取企业信息行为层+身份与权限层判得准→管得住Agent身份失控与多Agent委托链越权身份与权限层判得准→管得住Agent运行异常导致业务失控行为层+响应与取证层判得准→管得住AI攻击链调查与自动响应响应与取证层（综合闭环）管理住（综合闭环）AIAI对应能力层：资产层（AssetLayer）对应能力层：资产层（AssetLayer）AIDR价值阶段：看得见→分得清场景描述：企业大量使用AI应用、Agent和外部模型后，安全团队无法掌握谁在使用AI、使用哪些Agent、连接哪些数据。员工私自使用公共AI处理业务文档，部门私自部署AIAgent，外部Agent连接企业数据。攻击路径：AIChatGPT）APIAIAgentAIAIDR白皮书关键证据：AI（）AI（Agent遥测）（）AI（）AIDR检测：（）AIAI可信度和风险标签DLPAI响应动作：纳入管理台账、限制未授权AI访问、对高风险数据外泄执行阻断、生成审计报告AIDR价值：AIAIITAIAIDRAI2.员工使用公共AI导致敏感数据泄露对应能力层：数据层（DataLayer）+语义层（SemanticLayer）对应能力层：数据层（DataLayer）+语义层（SemanticLayer）场景描述：员工为提升工作效率，将商业文档、源代码、客户资料和内部报告上传到公共AI服务，敏感数据进入未知模型环境，可能被长期保存或泄露。攻击路径：ChatGPT修复AIAI关键证据：））（AI）AIDR检测：PromptDLPAI响应动作：根据策略执行阻断上传、数据脱敏、替换敏感字段或审计记录AIDR价值：AIDLP内AIDRPromptDLPAIAI3.RAG知识投毒与PromptInjection导致Agent错误决策对应能力层：语义层（SemanticLayer）+数据层（DataLayer）对应能力层：语义层（SemanticLayer）+数据层（DataLayer）+行为层（BehaviorLayer）攻击者通过恶意文档或PromptInjection影响Agent上下文，使Agent偏离原始目标并调用高风险工具。场景描述：攻击者通过恶意文档或PromptInjection影响Agent上下文，使Agent偏离原始目标并调用高风险工具，导致数据泄露或越权操作。这是AI安全最具代表性的复合攻击场景。攻击路径：（）（）AgentAgent规划AgentAgent关键证据：（）（）（Agent）Agent（））（）AIDR白皮书AIDR检测：）（Agent））Agent响应动作：阻断Tool调用、终止Session、隔离污染知识源、撤销临时Token、生成攻击链分析AIDR价值：Agent4.恶意AI应用或Agent窃取企业信息对应能力层：行为层（BehaviorLayer）+身份与权限层（Identity对应能力层：行为层（BehaviorLayer）+身份与权限层（IdentityLayer）场景描述：企业接入的第三方AI应用、Agent、Skill或插件利用合法身份访问敏感数据并进行外泄。这类威胁源于AI应用供应链——开源组件被植入恶意逻辑、恶意Agent伪装成合法工具、技能更新版本被篡改。攻击路径：AgentAI/Skill/插件关键证据：AI（）vs）（）AIDR白皮书AIDR检测：（）响应动作：禁用恶意AI应用、撤销相关Token和Secret、阻断外传连接、隔离受影响Agent、追踪所有使用过该应用的SessionAIDR价值：AgentAIAIDRAI5.Agent身份失控与多Agent委托链越权对应能力层：身份与权限层（IdentityLayer）对应能力层：身份与权限层（IdentityLayer）场景描述：AI时代不仅需要管理用户身份，也需要管理Agent身份。企业Agent拥有APIKey、OAuthToken、数据访问权限和工具调用权限。权限配置不合理或多Agent委托导致权限叠加，可能造成越权访问。攻击路径：AgentAgentAgentAB（BC（限），通过委托链A→B→C，AgentA最终实现了客户数据导出——超出任何单个Agent的权限范围关键证据：Agent（A→B→C）（每个Agent）））（）AIDR检测：IdentityAgent）（）AIDR白皮书响应动作：撤销Token、降低权限、中断异常委托链、隔离相关Agent、生成全链路证据链AIDR价值：AgentIAMAgentAIAPIAgent6.Agent运行异常导致业务失控对应能力层：行为层（BehaviorLayer）+响应与取证层对应能力层：行为层（BehaviorLayer）+响应与取证层（Response&ForensicsLayer）场景描述：APIAI攻击路径：AgentAgent关键证据：Session日志）（）））AIDR检测：（（AgentSessionKill（在平）AIDR价值：不仅防御恶意攻击，也防止AI自主行为失控。AgentKillSwitch是AI时代重要的新型响应动作之一——可在高危情况下立即停止Agent、会话、工具或自动化流程，这是传统安全产品不具备的能力。7.AIDR安全闭环：攻击链调查与自动响应对应能力层：响应与取证层（Response&ForensicsLayer）对应能力层：响应与取证层（Response&ForensicsLayer）——综合闭环能力场景描述：以上六个场景展示了AIDR在各能力层的单点检测和响应能力。但AIDR的真正价值在于统一中枢——将分散在资产、语义、数据、行为和身份各层的检测信号关联为完整攻击链，实现从发现到验证的全自动闭环。攻击路径（综合场景）：AI应用）（）Agent（）Agent（）（）关键证据（跨层关联）：记录AIDR检测（统一中枢关联）：5恶意AI应用（Session）响应动作（跨控制点编排）：AI应用））Session（）））（）AIDR价值：AIAIDRAIDR产业格局与中国企业现实挑战AIAIDRAIAIDRAIITAIITAI私有化与混合AI环境：公共AISaaS、自建模型、本地RAG和私有Agent平台往往并存，安全能力必须覆盖多种运行位置。AI与传统IT深度连接：Agent会调用OA、ERP、数据库和内部API，因此必须把AI事件与终端、网络、云、身份和数据事件统一关联。敏感数据和遥测本地化：Prompt、知识库、日志和安全证据可能具有敏感性，需要支持本地采集、本地检测、本地存储和本地响应。国产与异构生态：企业可能同时使用多种国产模型、自研模型和Agent框架，不能依赖单一云平台或单一Gateway。复用现有SOC/XDR体系：大型企业通常已经具备EDR、NDR、云安全、SIEM/XDR和SOC，AI安全应融入现有安全运营体系，而非再建一套孤立平台。因此，中国大型企业需要的AIDR，不只是一个云端AI安全服务，而应同时具备本地化部署、多模型/多Agent适配、多控制点遥测、AI与IT统一关联、跨域响应以及与SOC/MDR融合的能力。中国企业需求亚信基础AIDR适配价值本地化/混合部署终端、服务器、网络、云及本地安全平台AI安全能力可以落到企业真实运行环境多控制点可见性TrustOne、DS、NDR、浏览器、数据与身份能力从AI入口观察到Agent真实执行、通信和数据访问AI+IT统一调查AIXDR数据关联能力把Prompt、Agent、Tool与传统安全事件还原为同一攻击链持续运营SOC/MDR能力实现7×24监测、调查、响应和策略优化AIEndpointAIAIDRAI本章结论AIAIDRAIITAIITAI36MDR36MDR安全运营能力MDR（ManagedDetectionandResponse）是AIDR持续运营的重要组成部分。AI时代安全风险持续变化，企业不仅需要检测能力，更需要持续运营能力。MDR通过安全专家、运营流程和响应机制，实现7×24小时监测、AI安全事件分析、攻击链调查、响应处置和策略优化。MDR使AIDR从技术平台能力进一步转化为企业可持续运营的安全能力。亚信AIDR战略优势AIDRAIAI统AIDR的核心架构原则是“统一中枢、多点控制”。统一平台负责数据归一化、关联分析、调查和响应编排，多类控制点负责就近采集遥测数据并执行安全控制。亚信已有终端、云、网络、浏览器、数据、身份和XDR能力，可在传统安全能力基础上扩展AI原生对象采集能力，包括Prompt、Agent规划、Tool调用、身份关系和Runtime行为。控制点能力说明终端TrustOne覆盖终端Agent行为、进程和文件操作，扩展采集AI应用和Agent运行时遥测。云云主机安全（DeepSecurity）覆盖服务器和云工作负载，采集AI模型服务和Agent平台运行数据。网络NDR覆盖流量分析和异常通信检测，识别AI应用通信和数据外传行为。浏览器信界覆盖Web交互和数据访问控制，感知员工AI交互内容和数据流向。数据数据安全能力支持分类分级、防泄漏、PromptDLP和数据脱敏身份身份能力扩展AgentIdentity、NHI和委托链治理。XDRAIXDR汇聚多源安全遥测，作为AIDR统一分析基础。AIDR的本质是检测与响应闭环，其核心流程包括：遥测（Telemetry）、关联（Correlation）、调查（Investigation）、响应（Response）。亚信长期服务企业客户的安全运营经验，为AIDR提供工程化落地基础。从ProtectIT到ProtectAI3.AIXDR3.AIXDR统一中枢亚信AIDR的核心差异化定位是AIXDR统一中枢——连接AI安全能力与传统安全能力的新一代检测响应中枢。控制点负责采集遥测并执行响应；XDR负责传统安全事件关联和调查；AIRuntimeSecurity负责AI原生风险检测；AIDR统一中枢融合两类安全信号，重建跨AI与IT环境的完整攻击链，并编排响应闭环。亚信AIDR不是孤立的AI安全产品，而是建立在企业完整安全体系之上的AI时代安全基础设施。相比仅具备单点AI安全能力的厂商，亚信具备覆盖终端、网络、云、数据、身份的完整控制点，成熟的SOC/MDR安全运营能力，以及以AIXDR为核心的统一检测响应平台。这使亚信能够将AI安全风险纳入企业整体安全运营体系，实现从ProtectIT到ProtectAI的演进。AIDR企业如果不建设AI安全检测响应能力，将面临以下潜在风险：风险类型潜在影响预估成本量级数据泄露员工使用公共AI导致源代码、客户数据泄露单次事件数十万至数百万合规处罚不满足AI法规安全要求，面临监管处罚《个人信息保护法》罚款上限5000万或上一年度营业额5%业务中断Agent执行循环或被攻击导致服务不可用按业务规模计算停机损失安全事件响应AI安全事件无法快速定位和处置延长事件响应时间，扩大影响范围AIDR投入类别内容说明平台部署AIDR统一中枢部署和配置复用现有XDR平台基础，增量投入较低控制点扩展终端、网络、浏览器等控制点增加AI遥测能力在现有控制点上增量扩展，非新建运营服务MDR持续运营、策略调优、事件响应按需选择托管服务或自运营价值维度衡量指标预期效果风险降低AI安全事件检出率、数据泄露事件减少率ShadowAI发现覆盖率≥90%，敏感数据泄露拦截率≥80%响应效率AI安全事件平均响应时间（MTTR）从"无法响应"到分钟级自动响应合规成本满足AI法规安全要求的审计准备时间从专项准备降低为常态化能力输出运营效率安全团队AI安全事件分析效率自动化攻击链重建减少人工调查时间企业AIDR建设应采用渐进投入策略，避免一次性大额投入：验证30ShadowAI（）Agent（）AIDR（）AIDR的投入产出不是简单的成本节约计算，而是风险防范能力建设。在AI快速普及的背景下，尽早建设AIDR能力可以避免事后补救的更高成本——一次AI数据泄露事件的损失可能远超AIDR建设投入。从IT到AIAIDR白皮书

总结与展望迈向可信、可控的AI时代Protect过去几十年的安全发展，本质上是围绕企业计算模式变化不断扩展保护对象。在网络时代，安全主要保护网络边界和通信基础设施；在终端时代，安全重点转向用户终端和服务器运行环境；在云时代，安全进一步扩展到云工作负载、应用和数据。随着人工智能逐渐成为企业新的计算基础设施，安全保护对象正在发生新的变化。AIAgentContextITAI安全体系正在从：安全体系正在从：ProtectIT，逐步走向：ProtectAIProtectAIProtectITAI时代的安全挑战，不只是新增一个攻击入口，而是企业安全对象和运行模式发生变化。传统安全体系主要关注用户行为、网络通信、终端活动、应用运行传统安全体系主要关注用户行为、网络通信、终端活动、应用运行AI时代需要进一步关注AI资产、Agent身份、Prompt和Context、数据流转、Tool/API调用、Runtime执行行为AIDR不是AIDR不是某一个AI网关或安全组件的替代不是单点AI安全能力的简单组合AIDR（AIDetectionandResponse）的核心价值：是围绕AI原生对象建立持续发现、检测、调查和响应能力，实现对AI系统运行过程的安全保护。40而是而是通过统一的数据关联和响应闭环融合为面向AI时代的新一代检测响应体系AI资产发现AI资产发现Agent行为分析语义安全检测AIDR身份与权限治理数据保护安全调查与响应战略定位亚信亚信AIDR的核心定位以AIXDR统一中枢为核心，构建覆盖AI资产、交互、身份、数据和运行行为的检测响应体系。AIDR通过统一安全中枢，连接企业已有安全能力和AI时代新增安全能力，实现从传统IT安全到AI安全的融合。其核心能力包括：依托终端、网络、云、数据、身份等安全能力，为AIDR提供覆盖企业IT环境和AI环境的安全遥测和控制能力。AIAIAgent（SOC）通过上述能力，亚信AIDR能够帮助企业将AI安全风险纳入整体安全运营体系，实现从发现风险到闭环治理的全过程管理。随着企业AI应用不断深入，AIDR能力将持续演进。从ProtectIT到ProtectAI未来，安全重点将进一步转向：未来，安全重点将进一步转向：Agent如何执行任务、是否按照预期目标运行、是否存在异常调用和行为偏移。早期阶段，企业首先需要解决：有哪些AI资产、谁在使用、是否符合安全要求。AIDR白皮书AIDR将从AI资产可见性进一步发展到AIRuntimeSecurity。未来企业AI环境将由多个Agent、工具、模型和业务流程共同组成。安全保护范围将进一步扩展到：安全保护范围将进一步扩展到：Agent之间的协作关系、Agent身份和权限、Tool/API调用、MCP等工具生态、多Agent委托链。AIDR需要持续增强对复杂AI生态的理解和保护能力。AI时代安全风险具有动态变化特点，企业需要的不只是发现问题，而是：未来AIDR将进一步融合安全智能分析能力，提升安全运营自动化水平。AIDR白皮书附录AIDR八平面技术参考架构八平面技术参考架构是AIDR面向架构和研发的技术视图，定义AIDR保护的技术对象、需要采集的遥测以及策略和控制应落在哪些位置。前六个平面描述运行对象，治理平面与遥测平面横向贯穿全生命周期。技术平面主要对象核心安全目标身份平面（IdentityPlane）User、Agent、NHI、OAuth、Token、Secret、Delegation身份可信、权限最小化、委托可追踪资产平面（AssetPlane）AISaaS、模型、Agent、MCPServer、ToolRuntime、AIComponent资产可发现、来源可信、版本可追踪交互平面（InteractionPlane）Prompt、Response、Context、SystemPrompt、多模态输入输入可信、上下文完整、语义攻击可检测执行平面（ExecutionPlane）Planner、Workflow、Tool、MCP、API、Browser、Shell、Database执行可观察、动作受授权、高危行为可阻断知识平面（KnowledgePlane）RAG、Memory、VectorDB、知识图谱、Cache知识访问受控、记忆不被污染、敏感知识不泄露响应平面（ResponsePlane）Alert、Incident、Evidence、Timeline、SOAR、Recovery风险可聚合、事件可调查、响应可执行、结果可验证治理平面（GovernancePlane）Policy、Risk、Compliance、Audit、Lifecycle策略统一、风险可度量、过程可审计遥测平面（TelemetryPlane）Log、Metric、Trace、Event、PromptLogToolCall、AgentSession、数据统一、来源可信、事件可关联身份平面：承载所有身份对象——用户、Agent、NHI、OAuth凭据、Token、Secret和委托关系——其安全目标是身份可信、权限最小化和委托可追踪。资产平面：覆盖所有AI资产对象，包括AISaaS、模型、Agent、MCPServer、工具、运行时和AI组件，确保资产可发现、来源可信和版本可追踪。交互平面：是提示词、响应、上下文和系统指令流转的位置，确保输入可信、上下文完整和语义攻击可检测。执行平面承载Agent的规划、工作流、工具调用、MCP交互、API调用和命令执行，确保执行可观察、动作受授权和高危行为可阻断。知识平面覆盖RAG、记忆、向量数据库、知识图谱和缓存，确保知识访问受控、记忆不被污染和敏感知识不泄露。AIDR白皮书响应平面：是告警、事件、证据、时间线、SOAR和恢复的管理位置，确保风险可聚合、事件可调查、响应可执行和结果可验证。治理平面和遥测平面是横向贯穿的。治理平面：统管策略、风险、合规、审计和生命周期，确保安全策略的一致性和过程的可审计性。遥测平面：采集日志、指标、追踪、事件、提示词日志、工具调用和AgentSession数据，确保数据统一、来源可信和事件可关联——它是所有检测和调查的数据底座。六层能力与八平面映射关系六层能力模型和八平面技术架构是AIDR的两个视图：六层回答"产品提供什么能力"，八平面回答"能力作用于什么对象、从哪里获取证据、在哪里实施控制"。两者之间存在明确的映射关系。六层能力主要技术平面典型控制点资产层Asset、Identity、Governance、Telemetry终端/服务器Agent、NDR、云连接器、模型平台连接器语义层Interaction、Execution、TelemetryAIGateway、LLMFirewall、SDK、Sidecar数据层Interaction、Knowledge、Identity浏览器、DLP、Gateway、知识库连接器行为层Execution、Identity、TelemetryEndpoint、Server、SDK、Sidecar、MCPGateway身份与权限层Identity、Execution、GovernanceIAM、、NHI平台、MCPGateway、AgentRuntime响应与取证层Response、Telemetry（关联所有平面）XDR、SIEM、SOAR、各采集控制点资产层：主要作用于资产平面、身份平面、治理平面和遥测平面，通过终端/服务器Agent、NDR、云连接器和模型平台连接器等控制点发现和盘点AI资产。语义层：主要作用于交互平面、执行平面和遥测平面，通过AIGateway、LLMFirewall、SDK和Sidecar等控制点检测Prompt和Response中的语义风险。数据层：跨交互平面、知识平面和身份平面，通过浏览器、DLP、Gateway和知识库连接器等控制点保护数据安全。行为层作用于执行平面、身份平面和遥测平面，通过EndpointAgent、ServerAgent、SDK、Sidecar和MCPGateway等控制点监测Agent行为。身份与权限层：跨身份平面、执行平面和治理平面，通过IAM、PAM、NHI平台、MCPGateway和AgentRuntime等控制点治理身份和权限。响应与取证层：作用于响应平面和遥测平面，并关联所有平面的事件，通过XDR、SIEM、SOAR和各采集控制点实现事件调查和响应闭环。这种映射关系确保了AIDR的能力体系是完整的——每一层能力都有对应的技术平面作为支撑，每一个技术平面都有对应的能力层进行覆盖，不存在能力与架构脱节的问题。AIDR白皮书参考资料与引用来源说明：本白皮书部分行业数据、案例、法规及厂商能力分析基于公开资料整理。厂商产品能力具有持续迭代特征，相关信息截至2026年8月。文中产业路线与产品覆盖范围属于基于公开资料的研究判断，不构成第三方测评、商业排名或采购建议。AI采用与安全趋势Microsoft&LinkedIn，《2024WorkIndexReportAIHere.ComesthePart》，2024。用于支撑：全球75%的知识工作者已在工作中使用AI；在AI用户中，78%会使用企业未提供的AI工具（BYOAI）。微软原始报告明确是“78%ofAIusers”，不是78%的全部知识工作者。MicrosoftWorkTrendIndexGartner，《MoreThan%EnterprisesWillHaveUsedGenerativeAIDeployedGenerativeAI-EnabledApplicationsby2026》，2023。用于支撑：到2026年，超过80%的企业将使用GenAI或模型，和/或部署生成式AI应用；2023年这一比例不足5%。Gartner官方新闻稿HiddenLayer，《2024AIThr