红队、监控与事件响应
本节目标
能从威胁模型构造安全红队用例，把结果转成发布门；能设计最小充分的安全遥测；能在 Agent 事件中完成检测、遏制、证据保全、恢复和复盘。
红队不是“越狱语录比赛”
红队的目标是验证真实攻击者能否跨越信任边界并造成定义过的损失。测试项从 威胁模型 的资产与路径派生，而不是无限收集奇怪 Prompt。
覆盖面至少包括：
- 直接、间接、编码、多语言与多模态提示注入；
- 工具列表/描述投毒、参数注入、越权和混淆代理；
- 敏感数据通过邮件、URL、搜索、日志或协作 Agent 外泄；
- 记忆、RAG 数据与跨租户上下文投毒；
- 伪造/重放 Agent 间消息、信任传递、错误聚合与跨工作流级联；
- 模型、Skill、MCP server、依赖与更新渠道供应链替换；
- 重复调用、无限循环、资源/成本耗尽和速率限制绕过；
- 审批重放、参数替换、凭据撤销与紧急停用失败。
多 Agent 场景的委派身份、授权引用、消息完整性、重放与跨边界 token 处理，还应与 多 Agent 的身份、授权与跨边界信任 中的合同一起审查；红队不应把“来自协调器”的自然语言消息自动升格为可信控制事实。
每个用例记录前置权限、攻击输入、系统版本、允许动作、禁止终态、观察证据和清理步骤。优先在隔离环境使用合成数据和可控账户；未经明确授权不要测试生产或第三方系统。
从用例到发布门
单次成功或失败没有可比性。固定数据集、版本、策略和评判标准，并报告：攻击成功率、关键资产影响、严重级别、误报、波动和覆盖盲区。高风险路径使用零容忍或明确阈值；新发现转成回归样本，进入版本变更门。
红队不能证明“绝对安全”。它只对测试范围、假设、时间和版本提供证据。对抗者、模型和工具会变化，因此需要持续评测与监控。
安全监控信号
将安全事件与运行监控关联到同一 run/trace，但避免记录完整秘密。可观察：
| 层 | 信号示例 |
|---|---|
| 输入与上下文 | 不可信来源比例、异常编码、跨租户引用、记忆写入拒绝 |
| 策略与工具 | 未知工具/字段、目的地拒绝、对象授权失败、批准重放 |
| 行为 | 工具调用突增、重复/循环、异常外发量、预算耗尽 |
| 身份与供应链 | scope 变化、撤销后使用、模型/Prompt/依赖漂移、未验证组件 |
| 结果 | 敏感字段命中、人工接管、紧急停用、回滚和恢复时间 |
多 Agent/多工作流系统还要关联父子 run、消息发送者与接收者、委托链、hop 数、扇出、重试和共享资源影响。只盯单个 Agent 的最终回复，会漏掉错误在协调器、队列和下游自动化中的放大。
基线按用户、租户、工具和版本分层，否则正常大客户可能淹没小租户异常。告警应指向可执行手册和责任人，并测量误报与漏报。日志做数据最小化、访问控制、完整性保护和保留期管理；安全日志本身也是敏感资产。
Agent 事件响应流程
1. 准备
维护联系人、严重级别、工具停用、凭据撤销、知识源隔离、队列暂停、只读降级、版本回滚与通知决策手册。定期桌面演练和技术演练。
2. 检测与分析
确认事件是否真实，识别受影响资产、用户/租户、时间窗口、模型/Prompt/工具/数据版本和攻击路径。区分模型错误、策略缺陷、凭据滥用、供应链变化或普通运行故障。
3. 遏制
先限制爆炸半径：停用具体工具、吊销身份、阻断目的地、隔离知识源或暂停自动执行。不要为了取证让危险动作继续发生；短期遏制与长期修复分开记录。
4. 证据保全与清除
保存最小必要且受控的事件、哈希、配置和版本快照，记录保全链。删除投毒记忆/数据、修复授权或策略、轮换泄露凭据、替换受污染产物。何种证据可保存与通知时限需由组织安全、隐私与法律职责确认。
5. 安全恢复
在隔离环境重放攻击和正常用例，通过门槛后分阶段恢复；持续观察复发信号。恢复不能只重启服务，还要确认身份、数据、记忆和供应链回到已知良好状态。
6. 复盘与改进
写无责时间线、根因与促成条件，不把“模型不听话”当终点。每条永久修复对应负责人、截止时间和验证；真实路径加入威胁模型、回归集、监控和手册。
这里的六段是面向 Agent 的教学改写，不是对 NIST SP 800-61 Rev. 3 的逐章复刻或合规清单。该版本把事件响应建议放回持续的网络安全风险管理活动；组织仍应按自身 CSF/安全流程、法务隐私升级和系统角色设计可演练手册。
事件记录最小字段
事件 ID、首次/实际发生时间、发现渠道、资产与影响、范围、版本、攻击路径、遏制动作、证据位置、凭据/数据处置、恢复门、沟通决策、残余风险和后续负责人。
常见错误
- 只保存最终回复，缺少工具、身份、策略和版本证据。
- 红队只测试模型拒答，不验证真实副作用与数据流。
- 告警没有 run ID、租户或手册，事件中无法行动。
- 为取证记录全部 Prompt 和秘密，制造二次泄露。
- 修 Prompt 后关闭事件，未撤权、清除投毒记忆或补回归。
练习与自测
为“间接注入导致未遂发信”完成一页事件记录：时间线、资产、攻击路径、证据、即时遏制、根因、永久修复和恢复门。再设计一次紧急停用演练，测量发现到停用、停用到安全恢复的时间。
- 能把每个红队样本绑定真实资产、权限和禁止终态。
- 能用最小充分遥测发现、定位并遏制异常。
- 能快速停用工具、撤销身份、隔离数据并回滚。
- 能把事件路径变成长期回归，而非只写复盘文档。
下一步
完成 离线 Agent 威胁评审，把本库全部概念落到可运行契约。
参考资料
- MITRE ATLAS（持续更新；获取日期：2026-07-22）
- NIST Cybersecurity Framework 2.0（获取日期：2026-07-22）
- NIST SP 800-61 Rev. 3（Incident Response Recommendations and Considerations for Cybersecurity Risk Management，最终版 2025-04；获取日期：2026-07-22）