Thales发布AI Agent安全治理与自主WAAP新能力

在Thales近期举办的AI Security Innovations Newsroom上，三位安全负责人分享了AI Agent治理、自主WAAP以及攻防对抗的最新进展。整体传递出的信号很明确：当AI Agent开始在企业里代替人做决策、发起API调用、读写数据时，传统安全边界已经不够用了，必须用新的控制面去约束Agent的每一个动作。

AI Agent治理：给自主决策装上"断路器"

Thales AI网络安全产品技术总监Ward Dusham用一个理赔场景解释了Agent治理的核心逻辑。保险客户Asha通过App提交眼镜报销申请，理赔专员把处理队列的权限授予AI Agent。Agent自动完成了报销，但在另一笔申请中，它自行判断同一用户重复提交，决定删除客户记录。企业策略明令禁止Agent删除客户数据，系统在Agent执行删除动作前拦截了这次调用。

这个场景暴露的关键问题不是Agent会不会犯错，而是企业能不能在Agent犯错之前介入。Thales的解法是引入AI安全控制面，把自身放在Agent与LLM、MCP服务器、数据源之间的所有数据流中央，从而对每一次交互进行治理和拦截。

Ward展示的产品界面中，每个Agent交互以"调用链"形式呈现，可以看到Agent与LLM、MCP服务的完整请求-响应时间线。被允许的"创建理赔"调用正常通过，尝试删除成员的那一环被标红阻断。支撑这套机制的三类配置是：Agent注册表（含身份与凭证）、授权书（限定单笔理赔金额上限）、以及策略。策略可以由自然语言提示生成，系统将其翻译为确定性规则，在每次Agent交互时强制执行。

观察、保护、控制三条主线

Ward把Agent治理拆成三条主线：观察Agent行为，确保对全企业Agent活动有持续可见性；保护Agent与数据、身份、业务流程的交互，防御业务逻辑攻击；控制层面则实时分析和执行策略，确保AI系统遵守业务规则。这三条线合在一起，目标是让企业能安全地扩展自己的"Agent员工队伍"。

具体能力包括：防止数据暴露（拦截恶意流量、运行时数据分类与加密）、控制意图漂移（确定性策略加非确定性启发式策略）、以及审计取证（向审计方证明Agent的推理过程和控制措施）。Ward透露这套能力已经开放早期访问和Beta测试，邀请企业共同验证。

文中反复出现的 MCP（Model Context Protocol） 是理解整套治理逻辑的关键。它是由 Anthropic 于 2024 年底提出并开源的协议，目的是把 LLM 与外部工具、数据源之间的调用方式标准化：模型不再为每个工具单独写适配代码，而是通过统一的 MCP 服务器发现工具、读取其定义、按约定发起调用。可以把它类比成"AI 世界的 USB-C 接口"。

对安全团队来说，MCP 既带来便利也带来新的攻击面：MCP 服务器一旦被投毒或仿冒，Agent 就可能被诱导去调用非预期工具；工具定义本身也可能被篡改，实现"工具投毒"攻击。这正是 Thales 把自身放在 Agent 与 MCP 服务器之间、并对工具定义与参数逐条校验的原因——治理点必须落在协议层，而不能只停留在模型输入输出两端。

自主WAAP：以机器速度对抗AI攻击

Thales现场CTO Nadav Avital接过了另一个议题：当攻击方已经用上前沿AI模型，防守方靠人海战术必然失败。他列举了攻击侧的新能力：自主发现零日漏洞、N日漏洞武器化、规避现有安全控制、用自然语言生成新攻击工具、模仿人类行为、以及大规模自动化运营。

在时间、规模、动态性三个维度上，人类分析师都无法匹配：AI攻击以毫秒级运作，单一模型可以同时对上万个目标发起攻击尝试，传统基于规则的系统无法适应AI生成的多态载荷。

因此Nadav给出了自主WAAP的定义：一种在机器速度下理解、推理并适配每个应用上下文的防护方案，同时受人类设定的护栏约束。它不是单一检测引擎，而是三层结构。

第一层：统一安全引擎集群

核心是一个统一安全引擎，把WAF、API安全、高级Bot防护、DDoS缓解和AI应用安全的情报与策略集中起来。它依赖多个专项引擎协同工作：Agent护栏引擎确保Agent在批准的身份、权限、工作流和数据边界内运行，检测提示注入、过度自主、异常工具链和敏感数据暴露；MCP防护引擎发现并监控MCP服务器、工具与交互，验证身份、工具定义、授权和参数，阻止未授权执行；意图检测引擎判断每次交互背后的真实目标，区分合法委派行为与爬取、滥用、账户接管或被操纵的Agent行为；AI Bot与Agent信任控制引擎识别人类、Bot、浏览器和Agent流量，验证Agent身份、信誉和用户委派关系。

WAAP（Web Application and API Protection） 是把 WAF、API 安全、Bot 管理、DDoS 缓解等能力融合到同一平台的统称，用来替代过去各自为政的单点设备。传统 WAAP 的策略主要靠人工配置规则，面对 AI 生成的多态载荷、频繁变形的攻击流量时更新速度跟不上。

"自主 WAAP"的"自主"二字正落在这里：防护策略能够基于上下文自行推理、判断、调整，而不必等待分析师手工改规则。它和"自动化 WAAP"的区别在于——自动化只是按预定义动作执行，自主则要能够在没有明确指令的情况下做出决策，因此必须配以人类设定的护栏，防止防护系统本身失控。

第二层：用MCP服务器统一运营入口

Thales把AppSec能力封装成可被AI调用的工具，通过一个MCP服务器为所有应用安全工作流提供统一集成点。这样Agent和自动化流程可以自行执行操作，减少人类分析师的重复劳动。

第三层：AI威胁情报与自改进WAF

这部分能力密度最高。N日漏洞防护本质是机器速度的虚拟补丁：端到端Agent工作流在几分钟内追踪新披露漏洞、按严重性和相关性分流、验证漏洞真实性与利用有效性、在不存在利用时自行开发并验证、生成检测规则并评估误报、最后灰度推送到客户。Nadav特别提到这项技术正在申请专利。

自改进WAF则采用红蓝对抗思路：红队Agent持续生成数千种攻击变体和规避技术，一旦找到有效绕过，蓝队Agent负责生成新防御，循环往复直到系统加固到红队难以突破的阈值。

攻防新常态：保护"来自AI、用AI、对抗AI"

Thales EMEA首席解决方案官Pal Balint把议题拉回防守方视角。他强调AI在今天同时扮演三个角色：攻击者、目标和防御者。最明显的变化不是威胁形态，而是威胁速度。

Pal列举了当前最常见的风险：钓鱼攻击的规模、语言复杂度和方法论都在升级，多模态模型让语音合成与识别达到新水平。他建议采用抗钓鱼的MFA，并定期对员工和流程做红蓝测试。

漏洞利用窗口的急剧缩短是另一个关键变化。Pal引用OWASP最新研究指出，零日漏洞利用已重新回到恶意接管手段的榜首。当几乎所有平台都提供某种WAF能力时，几个百分点的效能差异就会产生巨大影响。

AI资产本身就是攻击面

Pal指出，很多企业难以把LLM或Agentic AI推向生产，根源是无法收敛这些系统暴露的攻击面。他把风险点一一列出：

• 用户提示面临直接和间接的提示注入，任何送入AI系统的内容都应视为不可信，包括搜索结果和网页内容。
• Agentic检索（RAG、多模态RAG、Graph RAG）可能遭遇类回声攻击：恶意载荷藏在搜索结果响应中，驱动AI系统替攻击者执行恶意操作。
• 工具连接器成为攻击目标，攻击者试图诱骗MCP或Agent集合替他们执行非预期动作。
• 模型输出可能被幻觉污染，更糟的是可能带有恶意载荷。有些受害者直接把生成内容复制进代码、邮件或应用，形成新的攻击向量。
• Agent身份必须逐个配置、按需授权、及时撤销。
• 供应链攻击回归，外部引入的AI Agent可能在上游被攻破并横向移动。
• 影子AI正在成为安全运营的噩梦，员工使用的第三方或Web工具可能在持续泄露数据。

Pal的防御建议可以归纳为几条：把模型输出当作不可信内容；始终分离可信与不可信上下文；尽可能保留人类审批环节；为每个AI Agent分配独立身份和短时凭证并定期轮换；为Agent建立完整审计轨迹；在所有Agent系统中内置"急停开关"。

文中提到的 RAG（Retrieval-Augmented Generation，检索增强生成） 是当前企业落地 LLM 最常见的架构：模型在回答前先从知识库、搜索结果或网页中检索相关内容，再把这些内容拼进提示词交给模型。它大幅提升回答质量，但也把"不可信输入"直接送进了模型的上下文窗口。

所谓"类回声攻击"就是这一架构的典型弱点：攻击者把恶意指令伪装成检索结果片段，模型读到后误以为是指令，进而执行删除、外发数据等操作。Graph RAG、多模态 RAG 只是把检索对象扩展到知识图谱和图像/音频，风险模式不变。这也是 Pal 反复强调"把模型输出当作不可信内容""始终分离可信与不可信上下文"的根本原因——在 RAG 架构下，输入的边界就是信任的边界。

治理框架与落地节奏

在治理合规层面，Pal推荐OWASP LLM和Agentic AI指南来识别常见攻击面，并提到EU AI Act（原文称2027年12月生效）可作为AI系统分类工具。

对于Agentic AI在安全运营中的落地节奏，他的建议是分阶段：先让它在分层模式下仅提供行动建议，再在人工审批下代为执行，等成熟度足够后再授予一定自主权。这个节奏与Ward演示的"授权书+策略约束"思路一脉相承。

Pal 引用的 OWASP LLM Top 10 与 Agentic AI 指南 是目前业界引用最广的 AI 安全风险清单。LLM Top 10 聚焦提示注入、不安全输出处理、训练数据投毒、模型拒绝服务等模型层风险；Agentic AI 指南则把范围扩展到多步自主行为，覆盖工具滥用、权限蔓延、记忆污染、Agent 间通信劫持等更贴近"自主实体"的风险。

配合他提到的 EU AI Act，两者形成互补：OWASP 提供攻击面的技术清单，EU AI Act 提供按风险等级分类系统的合规框架。企业落地时通常先用 OWASP 清单做自查和威胁建模，再按 EU AI Act 的风险分级决定所需文档、审计与人工监督强度。

三个演讲合起来说明了什么

Ward讲的是如何在企业内给Agent划出可执行、可审计的边界；Nadav讲的是当攻击方已经AI化，防守工具必须先在机器速度上站住脚；Pal讲的是防守方应该按什么优先级去收敛AI资产暴露面。三者指向同一个判断：AI安全不再是给模型加一层过滤，而是要在身份、权限、数据流、业务逻辑和运营流程的每个环节建立可强制执行的治理结构。

目前Thales的Agent治理能力已开放早期访问，自主WAAP的虚拟补丁和自改进机制也已进入产品化阶段。对正在把Agent推向生产环境的企业来说，这套思路值得作为安全架构设计的参考。