# 05 - 安全治理与审计

> Agent CLI 是能调用真实工具的 AI，因此安全边界必须在工具执行前、输出落库前和审计查询时同时生效。// Logan.Li

---

## 风险模型

OWASP LLM Top 10 中和 AIOps Agent CLI 最相关的是：

| 风险 | AIOps 对应点 |
|------|--------------|
| Prompt Injection | 用户输入或远程日志诱导模型绕过规则 |
| Sensitive Information Disclosure | 工具输出、日志、环境变量里含密钥 |
| Insecure Plugin Design | 工具参数过宽、权限不足、缺少校验 |
| Excessive Agency | 模型拥有过多自主执行能力 |
| Model Denial of Service | 超长日志、循环调用、昂贵模型反复请求 |

治理目标是把这些风险转成代码里的 guardrail、策略和审计。

---

## 当前安全链路

```text
工具注册最小化
  → DynamicRiskTool 评估风险
  → safety.Controller 按模式判断
  → critical 硬拒
  → high/medium 触发 WebSocket 确认
  → 执行结果落库
```

安全模式：

| 模式 | 确认阈值 |
|------|----------|
| `strict` | medium 及以上 |
| `balanced` | high 及以上，默认 |
| `permissive` | critical 仍硬拒，其他尽量放行 |

---

## WebSocket 确认

高危工具调用时：

```text
core.Agent
  → ConfirmFn
  → controller 生成 confirm_id
  → 推送 confirm 事件
  → 前端展示工具、参数、风险、目标
  → 用户批准 / 拒绝
  → controller 唤醒执行线程
```

确认不能替代审批。生产环境里，确认适合“本次操作者即时确认”，审批适合“跨角色授权和留痕”。

---

## 审计落点

当前落点：

| 表 | 内容 |
|----|------|
| `agent_cli_sessions` | 用户、目标、模型、状态、轮次、耗时、token |
| `agent_cli_messages` | 输入、思考、工具调用、工具结果、最终答案、错误 |

建议增加统一审计关联：

| 字段 | 来源 |
|------|------|
| `trace_id` | 一次 Agent run 的全链路 ID |
| `session_id` | Agent CLI 会话 |
| `user_id` | JWT 用户 |
| `target_type` | server / cluster / pod |
| `target_id` | 资产或集群 ID |
| `tool_name` | 工具名 |
| `tool_args_hash` | 参数摘要，敏感参数不明文索引 |
| `risk` | 风险等级 |
| `decision` | auto / approved / rejected / denied |
| `approval_id` | 审批单，可选 |

OpenAI Agents 的 tracing 思路也说明，生产 Agent 应能追踪 LLM 生成、工具调用、guardrail 和自定义事件。AIOps 可以用现有 DB 先实现轻量 trace。

---

## 脱敏策略

落库前必须处理：

| 类型 | 示例 |
|------|------|
| Token | `Bearer ...` |
| 密码 | `password=...`、`passwd: ...` |
| AK/SK | 云厂商访问密钥 |
| Cookie | `Cookie:`、`Set-Cookie:` |
| 私钥 | PEM 私钥块 |
| 数据库连接串 | `mysql://user:pass@host` |
| K8s Secret | base64 secret data |

脱敏应同时作用于：

1. 前端展示。
2. `agent_cli_messages`。
3. 统一审计。
4. Evolver 记忆。

---

## 策略中心

企业化阶段建议接入统一策略：

| 策略 | 示例 |
|------|------|
| 用户策略 | 普通用户只读，高级运维可确认高危 |
| 资产策略 | 生产资产 strict，测试资产 balanced |
| 命令策略 | 禁止磁盘格式化、系统级删除、批量杀进程 |
| 时间策略 | 非变更窗口禁止重启和扩缩容 |
| 审批策略 | high 风险创建审批，approved 后继续执行 |
| 数据策略 | 敏感资产输出强制脱敏，不进入 Evolver |

---

## 治理成熟度

| 阶段 | 能力 |
|------|------|
| 当前 | 动态风险、critical 硬拒、Web 确认、会话落库 |
| 可用堡垒机 | 输出脱敏、只读模式、统一审计、trace_id |
| 企业堡垒机 | 策略中心、审批流、RBAC 工具剪枝、合规留存 |
| 智能闭环 | Agent 质量评测、风险评分、自动 Runbook 生成前审批 |