隐私、安全与信任边界

为什么需要

实时 Agent 的麦克风可能持续捕获旁人、背景设备、身份线索和敏感事务；音频中的指令也可能来自扬声器、录音或恶意媒体。低延迟不能成为跳过同意、权限、最小化和审批的理由。

怎样实现

先画信任边界：设备/浏览器、媒体网关、实时模型服务、应用 runtime、工具、状态库和人工审核。每条边标明主体、认证、加密、允许的媒体/事件、保留期、日志级别和撤销方式。

风险	关键控制	验证证据
无意采集/旁人语音	显式权限、可见指示、push-to-talk/静音、最小采集	设备权限/静音/切换测试
原始音频或 transcript 外泄	传输/存储保护、分级留存、脱敏日志、访问审计	数据流与删除抽查
音频提示注入	媒体/transcript 一律是不可信 observation；策略与权限在 runtime	恶意录音/背景指令测试
冒用身份	语音内容不等于身份认证；高风险动作使用独立认证	重放/合成声音测试
工具滥用	最小权限、scope、审批、速率/预算、幂等与 receipt	越权/过期审批测试
声音生成滥用	声音授权、用途限制、披露与事件响应	资产权利记录和撤销演练

W3C Media Capture and Streams包含设备权限、隐私指示与安全考虑，但组织仍需根据产品、地区和人群决定录音通知、同意、保留、声纹和未成年人规则。浏览器端只接收短期、最小作用域凭据；长期服务密钥留在可信服务端。

会话日志优先记录 ID、状态迁移、延迟和策略决定，不默认记录原始音频/完整 transcript。调试样本需单独授权、访问控制、到期删除和审计。视频/屏幕共享还要在采集前裁剪窗口、遮蔽通知和限制工具可见范围。

模型输出、ASR 文本、工具结果和远端媒体都不能提升自身信任级别。高风险动作必须由模型之外的 policy 结合已认证用户、当前 state、scope、参数摘要和新鲜 approval 决定。

常见失败

• 麦克风权限一次授予后无持续可见状态或快速撤销入口。
• 用“说出了生日/口令”作为唯一身份认证，忽略重放和合成声音。
• 为追踪延迟把原始音频、token 和工具参数写进同一开放日志。
• 将电话“已接通”当作用户已同意录音或自动化操作。
• prompt 说“忽略恶意音频”但 runtime 仍给模型高权限写工具。

怎样验证

做数据流审计和威胁驱动测试：拒绝/撤回权限、背景电视注入、录音重放、跨用户 resume token、恶意 transcript、过期 approval、日志访问、删除请求、工具越权和人工接管。结果要证明控制发生在模型之外，并保存最少必要审计证据。

实践任务

为实时客服画一张信任边界表：谁能看到原始音频、transcript、工具参数和 receipt，各保留多久。再设计一段背景音频诱导“导出客户名单”的攻击路径，并给出模型失守时仍能阻断的控制。

依据与下一步

系统级 prompt injection、身份、sandbox、供应链和事件恢复见 AI 安全；风险治理见 AI 治理。具体法律/合同要求必须由有权限的专业人员确认。下一步：端到端评测与离线项目。