AI Agent安全与速度如何兼得？Two Sigma的五层防护实践

当AI Agent能够在生产环境中以光速执行操作时，企业面临一个核心矛盾：如何在不束缚Agent能力的前提下确保安全？Two Sigma的工程师John Feminella分享了他们在这一领域的系统性思考与实践。

问题的本质：安全与创新的平衡

在受监管的金融机构中，安全性不足是生存性风险，而创新不足则是慢性死亡。Feminella引用John Shedd的名言点明了核心哲学：「停泊在港口的船是安全的，但船不是为了停泊而建造的。」

Two Sigma的做法是从五个关键要素入手，构建一套既能保障安全又不扼杀创新的Agent治理体系。这套框架并非放之四海而皆准，每个企业需要根据自身风险敞口和业务目标来调整。

五层防护体系详解

Agent注册中心：消除重复建设

Agent注册中心是整个体系的第一步。它记录每个Agent的工具、端点、所有者和关联产品，让Agent之间以及人与Agent之间能够相互理解和协作。

Two Sigma的注册设计追求最小侵入性：通过审批模板创建的Agent自动注册，定制化的Agent则通过启发式检测并自动注册，同时通知其所有者。没有注册中心，团队之间会浪费大量重复的时间、精力和Token。

风险评分：区分不同Agent的风险等级

主流的Agent框架（如Claude Code、Codex、Pi）与大多数企业部署的Agent有着本质区别。前者是开放式的，启动时并不知道会收到什么请求、将被赋予什么目的，这给风险评估带来巨大挑战。而企业Agent几乎总是有特定且专门的目的，评估维度更加清晰。

注册中心根据Agent声明的工具、目的和系统，在每次更新时对其风险画像进行评分。低风险且能力有限的Agent可以无需人工介入直接发布，高风险Agent则会被标记。这种区分机制让审查精力集中在最需要的地方。

出口控制：默认不信任Agent

Agent的价值部分来自于它们组合和重新混合信息以产生输出的能力。但Two Sigma的Agent运行环境默认不信任Agent，所有Agent都运行在一个仅允许已批准目标的代理后面。

这个代理不信任Agent代码，采用失败关闭（fail closed）策略，并直接从注册中心获取每个Agent的策略。这种方式避免了提交防火墙工单或维护脆弱配置的需要。

失败关闭（fail closed） 是安全设计中的一种默认策略，指当系统出现异常、策略缺失或判断不确定时，默认拒绝操作，而不是放行。与之相对的是「失败开放」（fail open），即在异常时默认允许通过。对于运行在生产环境中的 AI Agent，失败关闭意味着如果注册中心暂时不可达、策略解析出错或分类器超时，代理会直接阻止该次出口请求，而非降级放行。这牺牲了一定的可用性，但避免了在不确定状态下让 Agent 执行潜在危险操作，是金融等强监管场景中的常见选择。

共享评估框架：让性能可比较

没有统一的评估方式，每个团队将不得不构建自己的定制方案来理解模型在其Agent上的表现。Feminella认为，这就像要求每个团队发明自己的单元测试框架一样浪费。

Two Sigma的做法是建立共享评估体系，让每个编写Agent的团队都有一致的方式来比较性能。个体模型表现可以跨团队聚合，从而理解模型在企业特定上下文中的表现。共享框架还处理追踪收集和流水线工作，作者只需编写常规的Agent逻辑和测试用例，评估就像CI/CD流水线一样在每次变更时自动运行。

公共基准与企业实际表现脱节是 Agent 落地中的常见陷阱。公开榜单（如各类 LLM 排行榜）通常基于通用任务和静态数据集，而企业 Agent 面对的是内部工具、专有数据和特定业务规则。同一模型在企业上下文中的表现可能与公共基准排名差异很大。共享评估框架的价值在于把评估锚定在企业自己的任务分布上，并让不同团队的用例可以聚合，从而判断某次模型升级对整条业务线是净收益还是引入回归。

自动模式分类器：避免人工审批疲劳

如果需要人工审查和批准每一个Agent操作，不仅会拖慢Agent速度，还会让人因自满和警报疲劳而变得粗心。Two Sigma采用了Agent框架用户熟悉的「自动模式」分类器。

当Agent想要执行未被明确禁止的操作时，两阶段分类器决定如何处理：首先进行倾向阻止的快速分诊，然后对不明确的案例进行更深入的审查。

警报疲劳（alert fatigue） 指当告警或审批请求过于频繁时，审查者会逐渐降低注意力，倾向于机械式点击「通过」，使安全控制形同虚设。在 Agent 场景中，由于 Agent 以机器速度发起操作，若每次操作都需要人工审批，不仅造成严重队列积压，还会让审批者产生自满心理。两阶段分类器的设计正是为了缓解这一问题：先用快速分诊过滤掉大量明显安全或明显危险的操作，只把少量边界案例交给更耗资源的深度审查，从而在速度与安全之间取得平衡。

对企业的启示

这套框架的核心洞察在于：Agent会以机器速度运行，无论其控制措施是否跟得上。成功的企业需要构建能够跟上的控制体系，这样没有人需要放慢速度。

Feminella坦言这是一个不断演进的领域，今天正确的做法可能在六个月内就不再适用。Two Sigma持续对平台进行工程化改造，以超前于内部对这些能力的需求。对于正在探索Agent落地的企业而言，这五个维度提供了一个值得参考的治理框架起点——关键在于根据自身的风险敞口和业务目标做出适配，而非照搬。