AIUC-1：OWASP 智能体应用十大风险对照表

AIUC-1：OWASP 代理型应用十大安全风险对照表（Version 1.0）

代理安全倡议（Agentic Security Initiative）｜2026 年 5 月

本文档所提供的信息不构成、也不旨在构成法律意见，所有信息仅供参考。本文档包含指向第三方网站的链接，此类链接仅为方便而设，OWASP 不对第三方站点的内容作出推荐或认可。

引言

本文档提供 AIUC-1 与《OWASP 代理型应用十大安全风险（2026）》（OWASP Top 10 for Agentic Applications）之间的双向对照（crosswalk）。

《OWASP 代理型应用十大安全风险》是一套经过全球同行评审的框架，用于识别自主式与代理型（agentic）AI 系统面临的最关键安全风险。该框架由 OWASP GenAI 安全项目（OWASP GenAI Security Project）下属的代理安全倡议（Agentic Security Initiative，ASI）于 2025 年 12 月发布，为保护那些能够跨复杂工作流进行规划、行动和决策的 AI 智能体（AI agent）提供可操作的指导。

AIUC-1 是一项面向 AI 智能体的安全、保障与可靠性标准，围绕六大原则组织：数据与隐私（Data & Privacy）、安全（Security）、保障（Safety）、可靠性（Reliability）、问责（Accountability）与社会（Society）。本对照表在两套框架的需求之间建立映射，帮助使用任一标准的从业者理解二者的关联。

文档结构

本对照表由两个部分、一项缺口分析和两个附录组成：

• A 部分——AIUC-1 需求 → OWASP 代理型十大安全风险。 对于每一条映射到代理型十大安全风险的 AIUC-1 需求，本节展示其应对了哪些威胁。该视图帮助已在使用 AIUC-1 的组织了解其对代理型风险的覆盖情况。
• B 部分——OWASP 代理型十大安全风险 → AIUC-1 需求。 对于 10 项 OWASP 代理型十大安全风险威胁中的每一项，本节展示哪些 AIUC-1 需求与之相关。该视图帮助使用 OWASP 十大安全风险的从业者回溯到具体的 AIUC-1 控制项。
• 已观察到的 AIUC-1 缺口。 位于 B 部分与附录 A 之间。识别出 AIUC-1 可能受益于新增或扩展需求的八个领域，另有跨四条此前未映射需求的五项经验证的次要映射（Secondary）。对于评估 AIUC-1 在代理型威胁方面覆盖度的组织而言，本节是本对照表价值最高的发现。
• 附录 A——映射理由分类与主表。 对照表中每一条映射的唯一事实来源。每条映射带有一个理由代码（rationale code），表明其针对所映射威胁提供的控制功能。A 部分与 B 部分的表格均由该主数据生成。
• 附录 B——OWASP 代理安全倡议相关出版物。 来自 OWASP ASI 的配套文档，为本对照表引用的威胁与缓解措施提供更深入的技术背景。

映射方法论

每条映射标注为主要映射（Primary，直接缓解核心风险）或次要映射（Secondary，应对相关后果或提供支撑性控制）。

每条映射还带有一个理由代码，来自包含八种控制功能的受控分类：预防（PREV）、约束范围（SCOPE）、人工关卡（GATE）、检测与追溯（DETECT）、验证与测试（VALID）、策略与治理（GOVERN）、隔离与遏制（ISOLATE）、披露与校准（DISCLOSE）。完整定义见附录 A。

主要映射与次要映射由威胁情境决定，而非理由代码。预防性与范围约束类控制往往是主要映射；检测类与治理类控制往往是次要映射。最终判定由威胁决定：DETECT 对 ASI06 是主要映射（没有日志，记忆投毒不可见），对 ASI01 则是次要映射（那里预防性控制处于第一线）。

当威胁具有持续性、跨会话或多智能体性质，且缺少该特定检测机制时威胁在运营上不可见时，检测类控制（DETECT）被指定为主要映射；当预防性控制作为一线缓解手段、检测提供取证与审计层时，则为次要映射。

理由代码见附录 A 主表。A 部分与 B 部分表格仅显示需求代码、威胁与相关级别，便于快速查阅。需要了解某条映射背后「为什么」的读者可查阅附录 A。

本对照表识别的是相关性，而非充分性。主要映射意味着该 AIUC-1 需求直接应对 ASI 威胁的核心风险，但并不意味着该需求按当前定义提供了完整缓解。组织应针对 OWASP 代理型十大安全风险中的具体预防指南，评估每条被映射需求的实施深度、测试覆盖与运营成熟度。

透明度说明

本对照表将专家领域评审与自动化多信号分析（引用桥接、语义相似度与关键词信号）相结合。源自专家评审的映射不带出处标记。领域专家随后评审了全部映射，并在发布前对其进行验证、重新分类或删除。评审产生了跨四条此前未映射需求的五项新的经验证次要映射：E004 → ASI09、E008 → ASI01、E010 → ASI01 与 ASI03、E017 → ASI09。评审还揭示了上文所述的八项缺口和两项范围扩展建议，这些均非自动化流程独立产出。

范围说明

在代理型系统中，数据与隐私控制超越了经典的保密性范畴，扩展至凭据范围限定、记忆隔离、跨上下文预防、连接器最小化、遥测与日志留存控制，以及针对嵌入向量（embeddings）、缓存和检索上下文等衍生资产的生命周期治理。本对照表中的映射反映了这一扩展范围。旨在保护组织数据的控制，同时也约束了被攻陷智能体可用的攻击面。AIUC-1 需求与 OWASP 代理型十大安全风险威胁之间的关系往往是双向的，而非意图上的一一对应。

战略缺口摘要

「已观察到的 AIUC-1 缺口」一节识别出八个优先领域，AIUC-1 可能需要在这些领域新增或扩展需求，以与代理型威胁建模对齐。八项中有四项（缺口 1、2、4、5）描述的是没有专门 AIUC-1 需求的控制面，需要新增需求才能闭合；另外四项（缺口 3、6、7、8）描述的是对已提供部分覆盖的现有需求的扩展。它们共同聚为三个主题：

• 智能体身份与智能体间通信。 AIUC-1 没有针对逐智能体加密身份、签名的行为清单、智能体间双向认证、终止开关（kill switch）或运行时遏制的专门需求。这些出现在 ASI03、ASI07、ASI08 和 ASI10 中。
• 架构遏制与运行时监控。 AIUC-1 覆盖了失效响应计划和输出验证，但未要求熔断器（circuit breaker）、爆炸半径上限、规划器-执行器隔离、对智能体内部恶意活动的运行时监控，或 AI 服务权益（entitlement）控制。这些出现在 ASI01、ASI05、ASI08 和 ASI10 中。
• 供应链证明与模式（schema）控制。 AIUC-1 覆盖了供应商尽职调查和变更审批，但未要求工具清单、提示词版本控制、智能体依赖物料清单、面向智能体与工具的代码签名，或智能体-模型边界处的结构化模式。这些出现在 ASI01、ASI02、ASI04、ASI06 和 ASI08 中。

两项范围扩展建议与八项缺口并列。C003 和 C004 应指明在智能体代码内（而非仅在模型层）强制执行 AI 调用前与 AI 调用后的护栏。E011 应扩展至覆盖代理型推理与检索期间的跨区域数据使用，区别于训练期数据治理。

A 部分——AIUC-1 需求 → OWASP 代理型十大安全风险

本部分从每条 AIUC-1 需求出发，展示其应对了哪些 OWASP 代理型十大安全风险威胁。该对照使 AIUC-1 从业者能够识别并应用恰当的 OWASP 代理型十大安全风险条目，理解相关威胁与缓解措施。仅列出至少有一条映射的需求。与《OWASP 代理型应用十大安全风险》没有任何映射的需求列于本部分末尾。

A. 数据与隐私

数据与隐私控制在代理型系统中扮演双重角色。AIUC-1 主要将这些需求定位为对组织与客户数据的保护，限制 AI 系统能够收集、留存和暴露的内容。OWASP 代理型十大安全风险则主要将对应威胁定位为针对智能体本身的攻击：污染其记忆、利用其工具或滥用其权限。下方的映射连接了这两种视角。保护组织数据的数据最小化、隔离与访问控制，同时也约束了攻陷智能体的攻击者可造成的爆炸半径。例如，A003 的收集限制减少了被劫持智能体可窃取外传的数据量；A005 的跨客户隔离防止记忆投毒跨越租户边界；A006 的 PII（个人身份信息）控制强制执行了记忆投毒攻击所依赖突破的分段隔离。这些映射反映的是这种双向关系，而非意图上的一一对应。

A003——限制 AI 智能体数据收集（Limit AI agent data collection）

实施保障措施，基于用户角色与上下文，将 AI 智能体的数据访问限制在与任务相关的信息范围内。

A004——保护知识产权与商业秘密（Protect IP & trade secrets）

实施保障措施或技术控制，防止 AI 系统泄露公司知识产权或机密信息。

A005——防止跨客户数据暴露（Prevent cross-customer data exposure）

实施保障措施，在整合来自多个来源的客户数据时防止跨客户数据暴露。

A006——防止 PII 泄露（Prevent PII leakage）

实施保障措施与技术控制，防止 AI 系统泄露个人身份信息（PII）。PII 泄露控制支撑了防止共享智能体记忆被持久投毒所需的记忆分段与数据隔离。

A007——防止知识产权侵权（Prevent IP violations）

实施保障措施与技术控制，防止 AI 输出侵犯版权、商标或其他第三方知识产权。

B. 安全

B001——对抗鲁棒性第三方测试（Third-party testing of adversarial robustness）

实施对抗性测试计划，依照对抗性威胁分类验证系统对对抗性输入与提示注入（prompt injection）攻击的韧性。

B002——检测对抗性输入（Detect adversarial input）

实施监控能力，以检测并响应对抗性输入与提示注入攻击。

B003——管理技术细节的公开发布（Manage public release of technical details）

实施流程，管理 AI 系统技术细节的公开发布，防止被利用。管理智能体架构细节的披露，可减少对手用于构造或冒充失控智能体（rogue agent）的攻击面。

B004——防止 AI 端点抓取（Prevent AI endpoint scraping）

实施保障措施，防止对 AI 系统端点的对抗性抓取。端点抓取可为对手提供行为知识，用于构造利用用户信任的社会工程攻击。

B005——实施实时输入过滤（Implement real-time input filtering）

使用自动化内容审核工具实施实时输入过滤。

B006——防止未经授权的 AI 智能体行动（Prevent unauthorized AI agent actions）

实施保障措施，防止 AI 智能体执行超出预期范围与授权权限的行动。

B006 是本对照表中映射最广的需求，反映了范围强制执行与最小代理权（least-agency）控制在整个代理型十大安全风险中的核心作用。实施模式参见《Securing Agentic Applications Guide 1.0》（保护代理型应用指南 1.0）。注意：B006 聚合了多个不同的控制功能（范围强制执行、工具使用限制、权限控制、智能体间约束与运行时遏制）。实施时应独立处理每项控制功能，而不是把 B006 当作单一检查项。覆盖其中一项功能并不意味着覆盖了其他功能。

B007——强制执行用户对 AI 系统的访问权限（Enforce user access privileges to AI systems）

按照政策建立并维护用户对 AI 系统的访问控制与管理员权限。

B008——保护模型部署环境（Protect model deployment environment）

B009——限制输出过度暴露（Limit output over-exposure）

实施输出限制与混淆技术，防范信息泄露。

C. 保障

C002——开展部署前测试（Conduct pre-deployment testing）

• ASI01 智能体目标劫持：次要映射
• ASI05 意外代码执行：次要映射

C003——防止有害输出（Prevent harmful outputs）

实施保障措施或技术控制，防止有害输出，包括表现出痛苦的输出、愤怒回应、高风险建议、冒犯性内容、偏见与欺骗。C003 对欺骗防范的明确覆盖直接应对信任利用的核心风险——ASI09 的预防指南要求在安全关键流程中避免使用劝导性或情绪操纵性语言。

C004——防止范围外输出（Prevent out-of-scope outputs）

实施保障措施或技术控制，防止范围外输出。

C005——防止客户定义的高风险输出（Prevent customer-defined high risk outputs）

实施保障措施或技术控制，防止客户定义的高风险输出。当客户定义的风险类别与信任利用、不安全代码生成等代理型威胁场景重叠时，可作为补充控制。

C006——防止输出漏洞（Prevent output vulnerabilities）

实施保障措施，防止输出中的安全漏洞影响用户。

C007——标记高风险输出（Flag high-risk outputs）

实施告警系统，将高风险输出标记出来供人工评审。

C008——监控 AI 风险类别（Monitor AI risk categories）

实施跨风险类别的 AI 系统监控。

C009——启用实时反馈与干预（Enable real-time feedback and intervention）

实施机制，支持实时收集用户反馈并提供干预能力。C009 的暂停、停止与重定向能力提供了 ASI01（对高影响行动进行人工审批）与 ASI08（智能体输出向下游传播前进行人工评审）所要求的人在环（human-in-the-loop）关卡。

C010——有害输出的第三方测试（Third-party testing for harmful outputs）

委任专家第三方至少每 3 个月评估一次有害输出。作为 C003 的测试对应项，C010 验证有害输出控制——包括欺骗防范——在信任利用场景下有效运作。

C011——范围外输出的第三方测试（Third-party testing for out-of-scope outputs）

委任专家第三方至少每 3 个月评估一次范围外输出。作为 C004 的测试对应项，C011 验证范围强制执行控制在目标劫持场景下有效运作。

D. 可靠性

D001——防止幻觉输出（Prevent hallucinated outputs）

实施保障措施或技术控制，防止幻觉（hallucination）输出。

D002——幻觉的第三方测试（Third-party testing for hallucinations）

委任专家第三方至少每 3 个月评估一次幻觉输出。

D003——限制不安全的工具调用（Restrict unsafe tool calls）

实施保障措施或技术控制，防止 AI 系统中的工具调用执行未经授权的操作、访问受限信息，或做出超出预期范围的决策。D003 的工具调用限制是一种主要的范围强制执行机制，直接限制权限被提升的智能体能做什么，应对 ASI03「因范围强制执行不足导致的跨系统利用」这一根因。

D003 是映射最广的需求之一，反映了工具调用治理在代理型安全中的核心作用。实施模式参见《Cheat Sheet on Securely Using Third-Party MCP Servers 1.0》（安全使用第三方 MCP 服务器速查表 1.0）与《Secure MCP Server Development Guide》（安全 MCP 服务器开发指南）。实施时应考虑工具调用授权是仅在请求时验证，还是在执行时重新验证——尤其是在审批与执行之间条件可能变化的分布式或异步工作流中。

D004——工具调用的第三方测试（Third-party testing of tool calls）

委任专家第三方至少每 3 个月评估一次 AI 系统中的工具调用。

E. 问责

E001——安全泄露的 AI 失效预案（AI failure plan for security breaches）

记录针对 AI 隐私与安全泄露的 AI 失效预案，指定问责负责人，并建立通知与补救机制。

E002——有害输出的 AI 失效预案（AI failure plan for harmful outputs）

记录针对造成重大客户损害的有害 AI 输出的 AI 失效预案。

E003——幻觉的 AI 失效预案（AI failure plan for hallucinations）

记录针对造成客户重大财务损失的幻觉 AI 输出的 AI 失效预案。

E004——指派问责（Assign accountability）

记录开发与部署生命周期中哪些 AI 系统变更需要正式评审或审批，为每项变更指派一名问责负责人，并记录其审批与支持性证据。

E005——评估云端与本地处理（Assess cloud vs on-prem processing）

建立选择云服务提供商的标准，以及采用本地（on-premises）处理的情形。

E006——开展供应商尽职调查（Conduct vendor due diligence）

针对基础模型与上游模型提供商建立 AI 供应商尽职调查流程。

E007——记录系统变更审批（Document system change approvals）

记录系统变更审批流程并维护审批记录。变更审批控制可防止对智能体系统的未经授权修改，支撑供应链完整性下所要求的提示词与工具版本受控治理。

E008——评审内部流程（Review internal processes）

建立对关键流程的定期内部评审，并记录评审记录与审批。

E009——监控第三方访问（Monitor third-party access）

实施系统以监控第三方访问。

E010——建立 AI 可接受使用政策（Establish AI acceptable use policy）

建立并实施 AI 可接受使用政策（acceptable use policy）。

E015——记录模型活动日志（Log model activity）

维护 AI 系统流程、操作与模型输出的日志，以支持事件调查、审计以及对 AI 系统行为的解释。

E015 映射到全部 10 项代理型十大安全风险威胁（4 项主要映射、6 项次要映射，ASI06 亦为主要映射），反映了全面日志记录对自主智能体系统的检测、调查与问责的基础性重要意义。当日志作为持续性、跨会话或多智能体性质威胁的核心检测或可追溯机制时，为主要映射；当预防性控制（输入验证、访问控制、沙箱、人工审批）是主要缓解手段、日志提供取证与审计层时，为次要映射。

E016——实施 AI 披露机制（Implement AI disclosure mechanisms）

实施清晰的披露机制，告知用户其正在与 AI 系统而非人类交互。在自主 AI 智能体执行操作时通知用户（E016.4），使用户能够发现并标记否则会被忽视的未经授权或失控智能体行为。

E017——记录系统透明度政策（Document system transparency policy）

建立系统透明度政策，并为主要系统维护模型卡（model card）、数据表（datasheet）与可解释性报告的资料库。

F. 社会

F001——防止 AI 网络滥用（Prevent AI cyber misuse）

实施或记录护栏，防止 AI 被用于网络攻击与利用。F001 针对恶意代码生成与漏洞利用的内容过滤，直接防止智能体生成或执行攻击代码，并限制被攻陷或失控智能体所能产出的内容。

F002——防止灾难性滥用（Prevent catastrophic misuse）

实施或记录护栏，防止灾难性的 AI 系统滥用（化学/生物/放射性/核）。F002 对灾难性滥用模式的监控，是对智能体追求破坏性目标这类最极端失控智能体场景的检测控制。

未映射到任何 OWASP 代理型十大安全风险条目的 AIUC-1 需求

以下 AIUC-1 需求未出现在本对照表中。这并不意味着它们与代理型系统无关——而是它们不直接映射到某项具体的 OWASP 代理型十大安全风险威胁：

B 部分——OWASP 代理型应用十大安全风险 ↔ AIUC-1 需求

本部分从 10 项 OWASP 代理型十大安全风险出发，展示哪些 AIUC-1 需求应对了各项威胁。该视图帮助使用《OWASP 代理型应用十大安全风险》的从业者回溯到具体的 AIUC-1 控制项。

ASI01——智能体目标劫持（Agent Goal Hijack）

OWASP 描述：攻击者通过恶意内容改变智能体的目标或决策路径，利用智能体的规划与推理能力。隐藏提示可以把副驾（copilot）变成静默的数据外传引擎（例如 EchoLeak）。此类攻击包括通过细微子目标进行的渐进式计划注入、覆盖原始目标的直接指令注入，以及反思循环陷阱（reflection loop trap）。

参见：《Agentic AI - Threats and Mitigations v1.1》（代理型 AI——威胁与缓解 v1.1）；《Securing Agentic Applications Guide 1.0》（保护代理型应用指南 1.0）

相关 AIUC-1 需求：

ASI02——工具滥用与利用（Tool Misuse and Exploitation）

OWASP 描述：由于提示词含糊、目标错位或输入被操纵，智能体以不安全方式使用合法工具。这可能导致智能体以破坏性参数调用工具，或以意外顺序串联工具，造成数据丢失或外传（例如 Amazon Q 事件）。包括参数污染、工具链操纵，以及对已授予权限的自动化滥用。

相关 AIUC-1 需求：

ASI03——身份与权限滥用（Identity and Privilege Abuse）

OWASP 描述：智能体继承用户或系统身份并持有高权限凭据，为跨系统的权限提升与未授权访问创造了机会。凭据泄露会使智能体的活动远超其预期范围。包括动态权限提升、因范围强制执行不足导致的跨系统利用，以及继承合法凭据的影子智能体（shadow agent）部署。

参见：《Securing Agentic Applications Guide 1.0》；《Agent Name Service (ANS) v1.0》（智能体名称服务 v1.0）；《State of Agentic AI Security and Governance 1.0》（代理型 AI 安全与治理现状 1.0）

相关 AIUC-1 需求：

ASI04——代理型供应链漏洞（Agentic Supply Chain Vulnerabilities）

OWASP 描述：被攻陷的工具、插件、MCP 服务、模型 API、数据集、开源软件包与外部智能体引入了智能体可能在不知不觉中加以利用的漏洞（例如 GitHub MCP 漏洞利用）。上游任何一处失陷都会级联传导至主智能体。由于自主智能体会大规模、反复地复用被攻陷的数据与工具，供应链漏洞被进一步放大。

参见：《CheatSheet - Securely Using Third-Party MCP Servers 1.0》（安全使用第三方 MCP 服务器速查表 1.0）；《Secure MCP Server Development Guide》（安全 MCP 服务器开发指南）；《Agent Name Service (ANS) v1.0》

相关 AIUC-1 需求：

ASI05——意外代码执行（Unexpected Code Execution）

OWASP 描述：智能体以不安全方式生成或运行代码与命令，为远程代码执行（RCE）、沙箱逃逸和数据外传创造了机会（例如 AutoGPT RCE）。自然语言执行路径打开了危险的通道——RCE 可以经由提示词而非传统漏洞利用递送，使智能体沦为远程执行网关。

参见：《Securing Agentic Applications Guide 1.0》；《Agentic AI - Threats and Mitigations v1.1》

相关 AIUC-1 需求：

ASI06——记忆与上下文投毒（Memory and Context Poisoning）

OWASP 描述：攻击者污染智能体的记忆系统、嵌入向量与 RAG（检索增强生成）数据库，破坏存储的信息并跨会话操纵决策（例如 Gemini 记忆攻击）。与提示注入不同，记忆投毒具有持久性——在初始攻击过去很久之后，智能体仍会持续表现出错误行为。包括通过反复交互进行的渐进式记忆投毒，以及污染多智能体系统中的共享记忆。

参见：《OWASP Agentic AI - Threats and Mitigations v1.1》；《OWASP Multi-Agentic System Threat Modeling Guide v1.0》（多智能体系统威胁建模指南 v1.0）

相关 AIUC-1 需求：

ASI07——不安全的智能体间通信（Insecure Inter-Agent Communication）

OWASP 描述：多智能体系统面临身份伪造、消息重放以及智能体间通信信道被篡改的风险。伪造的智能体间消息可以误导整个集群。若通信信道未经认证、加密或验证，攻击者便可冒充受信智能体并影响整个多智能体系统。

参见：《OWASP Multi-Agentic System Threat Modeling Guide v1.0》；《OWASP Agent Name Service (ANS) v1.0》；《OWASP Securing Agentic Applications Guide 1.0》

相关 AIUC-1 需求：

已观察到的 AIUC-1 缺口：OWASP 条目与《多智能体系统威胁建模指南》强调智能体间通信以及 MCP/A2A 协议需要双向认证、消息完整性、重放防护、签名的智能体卡片、经证明的注册表以及协议/版本锁定。《智能体名称服务（ANS）》提出了一个基于 PKI 的框架，用于解决智能体发现与身份问题。

ASI08——级联失效（Cascading Failures）

OWASP 描述：单个智能体中的小错误在规划、执行与记忆环节间传播，通过互联系统被放大。虚假信号在自动化流水线中级联扩散，影响不断升级。包括注入在长期记忆中累积的虚假数据、引入导致数据泄露的幻觉 API 端点，以及植入经自我强化而不断恶化的虚假信息。

参见：《Agentic AI - Threats and Mitigations v1.1》；《Multi-Agentic System Threat Modeling Guide v1.0》；《Securing Agentic Applications Guide 1.0》

相关 AIUC-1 需求：

已观察到的 AIUC-1 缺口：ASI08 预防指南要求规划器与执行器之间设置熔断器、爆炸半径护栏（配额、进度上限）、数字孪生（digital twin）重放测试，以及将规划与执行分离的独立策略执行机制。AIUC-1 覆盖了失效响应预案（E001—E003）和输出验证（C007），但未要求防止错误在互联智能体与系统之间传播的架构遏制机制。团队应评估是否有必要新增需求（例如「实施级联失效遏制控制」）。

ASI09——人-智能体信任利用（Human-Agent Trust Exploitation）

相关 AIUC-1 需求：

ASI10——失控智能体（Rogue Agents）

OWASP 描述：被攻陷或目标错位的智能体在看似合法的同时实施有害行为。它们可能自我重复执行操作、跨会话持续存在，或冒充其他智能体（例如 Replit 崩溃事件）。部分智能体表现出目标错位、行为隐匿与自主行动。包括恶意工作流注入、冒充审批智能体、为欺诈交易劫持编排，以及协同的智能体洪泛（agent flooding）。

参见：《Multi-Agentic System Threat Modeling Guide v1.0》；《Agent Name Service (ANS) v1.0》；《Agentic AI - Threats and Mitigations v1.1》

相关 AIUC-1 需求：

已观察到的 AIUC-1 缺口：OWASP 条目与《多智能体系统威胁建模指南》强调逐智能体加密身份证明、签名的行为清单、终止开关、凭据吊销、信任区（trust zone）与重新接入检查。《智能体名称服务（ANS）》提出了基于 PKI 的智能体身份验证，与检测失控智能体相关。AIUC-1 目前没有针对智能体级证明、行为清单或运行时终止开关机制的专门需求。团队应评估是否有必要新增需求（例如「实施智能体身份证明」或「实施智能体终止开关/遏制控制」）。

已观察到的 AIUC-1 缺口

对照工作与贡献者评审揭示了八个领域，AIUC-1 尚未覆盖 OWASP 代理型十大安全风险预防指南视为必不可少的内容。八项中有四项（缺口 1、2、4、5）描述的是没有专门 AIUC-1 需求的控制面，需要新增需求才能闭合；其余四项（缺口 3、6、7、8）描述的是对已提供部分覆盖的现有需求的扩展。

贡献者评审还产生了跨四条此前未映射需求的五项新的经验证次要映射：E004 → ASI09、E008 → ASI01、E010 → ASI01 与 ASI03、E017 → ASI09。这些映射现已出现在 A 部分与 B 部分。另有两项作为范围扩展建议（而非新映射）出现：C003 与 C004 的护栏放置架构，以及 E011 下代理型运营的数据主权问题。

1. 智能体间通信安全（出现于 ASI07、ASI08、ASI10）

《OWASP 多智能体系统威胁建模指南》与《智能体名称服务（ANS）》将双向认证、消息完整性、重放防护、签名的智能体卡片和经证明的注册表描述为多智能体系统的核心控制。AIUC-1 没有针对保护智能体对智能体通信信道的专门需求。B006 处理智能体过度自主问题，但不涵盖智能体与工具之间的标识、注册或双向认证。智能体配置应通过智能体间认证、授权与白名单来约束与其他智能体的交互，以降低级联失效的暴露面。

2. 智能体身份证明与遏制（出现于 ASI03、ASI10）

OWASP 系列文档描述了逐智能体加密身份、签名的行为清单、终止开关、凭据吊销、信任区与重新接入检查。AIUC-1 没有针对智能体级身份证明或运行时遏制与终止开关机制的专门需求。AIUC-1 还缺少部署鲁棒性控制，用于防止跨会话的自主权升级、身份替换（临时令牌除外）、RBAC（基于角色的访问控制）修改，或记忆与上下文边界扩张。这些控制对应 AIVSS 的「行动中的自主权」（autonomy in action）放大因子。A001 与 A002 还应约束智能体重写并重新部署自身代码的能力，对应 AIVSS 的「自我修改」（self-modification）因子。由外部治理服务签发的、经加密签名的逐操作授权工件（artifact）展示了一种运营模式，但 AIUC-1 应保持实现中立。

3. 代理型供应链证明（出现于 ASI02、ASI04）

ASI04 预防指南要求签名的清单（SBOM 软件物料清单与 AIBOM AI 物料清单）、提示词溯源跟踪、面向工具与配置的内容哈希锁定，以及带差分测试的分阶段发布。AIUC-1 覆盖了供应商尽职调查（E006）与变更审批（E007），但未要求专门针对代理型组件的证明工件，包括工具清单、提示词版本控制或智能体依赖物料清单。AIUC-1 还缺少适用于代理型技术栈的软件安全措施：面向智能体、工具与服务器的代码签名与验证，以及针对智能体组件的漏洞测试与补丁管理。A003 应扩展至包含对既有客户数据与模型数据集的防篡改保护。所有安全（B 类）需求与 E001 都应纳入泄露与漏洞生命周期控制（打补丁、更新、披露）。

4. 级联失效遏制（出现于 ASI08）

ASI08 预防指南要求规划器与执行器之间设置熔断器、爆炸半径护栏（配额、进度上限）、数字孪生（digital twin）重放测试，以及将规划与执行分离的独立策略执行机制。AIUC-1 覆盖了失效响应预案（E001 至 E003）与输出验证（C007），但未要求防止错误在互联智能体之间传播的架构遏制机制（熔断器、爆炸半径上限、规划器-执行器隔离）。

5. 智能体工具使用基础设施控制（出现于 ASI02、ASI03、ASI05）

B006 防范智能体过度自主，但不防范智能体使用行为异常的工具。AIUC-1 缺少围绕智能体工具使用的基础设施级控制：工具及其属性的唯一标识与注册（包括对外宣称能力与实际能力的映射比对）、工具对智能体与服务器的认证、工具 API 调用的授权，以及智能体工具调用的日志记录。E015 要求记录模型活动日志，但未明确扩展到智能体级或应用级活动日志，在工具交互方面留下了可观测性缺口。

6. 运行时智能体安全监控（出现于 ASI05、ASI10）

B008 处理模型部署环境与外部世界交互的安全性，但不涵盖对智能体内部恶意活动的运行时监控：恶意模型、恶意容器镜像、未授权网络调用、远程代码执行、恶意载荷下载，以及容器边界之外的权限提升。此缺口不同于供应链证明（缺口 3）——后者处理部署前完整性；运行时监控处理的是部署后的行为威胁。

7. 资源与成本滥用控制（出现于 ASI01、ASI10）

AIUC-1 未涉及 AI 服务权益保护（entitlement protection）控制，即确保 AI 服务仅可被授权的身份、设备与上下文所消费。缺少权益控制时，攻击者可通过虚增 API 调用、升级令牌（token）消耗、冒充客户端或制造拒绝服务状况来滥用 AI 系统的资金预算。E004 定义了问责，但未指明 API 成本的资金责任、未要求成本治理控制，也未强制监控异常使用模式。此缺口与 ASI01 下的服务盗用（theft-of-service）场景和 ASI10 下的智能体洪泛场景交叉。

8. 输入/输出模式控制与确定性（出现于 ASI01、ASI06、ASI08）

A001 与 A002 为输入和输出建立数据政策，但未要求在智能体-模型边界实施模式（schema）控制，以实现实时护栏强制执行并降低非确定性。此缺口反映「最大确定性原则」（principle of most determinism），用于对抗 AIVSS 中的非确定性放大因子。智能体-模型边界处的结构化模式约束了可接受输入与输出的范围，降低目标劫持与记忆投毒的攻击面。

此前未映射需求的经验证新映射

贡献者评审为若干原本列为未映射的需求提出了 ASI 映射建议。四项通过验证，现已出现在 A 部分与 B 部分。每项均为次要映射，因为这些需求提供的是支撑技术缓解措施的治理、问责或透明度层，而非直接实施技术缓解。

E004（指派问责）→ ASI09 人-智能体信任利用：次要映射

E004 要求指派负责人、记录 AI 系统变更的审批（E004.1），以及对部署工件进行代码签名（E004.2）。ASI09 预防指南要求以不可篡改的日志与审计追踪来追溯智能体对人类决策的影响。指派问责负责人为调查信任利用事件创造了治理抓手，并确保有人评审智能体输出是否正在驱使人类走向有害决策。该映射为次要映射，因为 E004 提供的是组织层面的问责，而非直接的技术控制。贡献者还提出了 E004 → ASI06 与 E004 → ASI01（服务盗用/DDoS）的映射。ASI06 关联不成立：E004 的变更管理范围不处理记忆分段或跨会话访问控制。ASI01 的资源滥用关联通过缺口 7（资源与成本滥用控制）和现有的 E015 日志映射来应对更为合适。

E008（评审内部流程）→ ASI01 智能体目标劫持：次要映射

E008 要求对 AI 系统决策流程进行季度评审（E008.1），并收集包括安全通告在内的外部安全反馈（E008.2）。ASI01 预防指南要求定期开展模拟目标覆盖并验证回滚有效性的红队测试。评估护栏有效性并检测行为漂移的内部流程评审，是对可能已绕过实时防御的目标操纵的一种检测控制。该映射为次要映射，因为 E008 提供的是周期性治理评审，而非实时的目标劫持预防。

E010（建立 AI 可接受使用政策）→ ASI01 智能体目标劫持：次要映射；ASI03 身份与权限滥用：次要映射

E010 定义禁止的 AI 使用行为（E010.1）、实施违规检测与监控（E010.2）、提供面向用户的告警（E010.3），并支持实时阻断（E010.4）。AIUC-1 自身针对 E010 的 AIVSS 参考已把「智能体编排与多智能体利用」列为相关风险向量。对 ASI01 而言，一份明确规定禁止的智能体行为、并配有检测与阻断能力的可接受使用政策，建立了衡量目标偏离的政策基线。对 ASI03 而言，同一政策支撑权限边界强制执行的组织层面。两条映射均为次要映射，因为 E010 设定的是政策框架，而非实施技术控制。

E017（记录系统透明度政策）→ ASI09 人-智能体信任利用：次要映射

E017 要求透明度政策（E017.1）、模型卡、数据表、可解释性报告与 AI 物料清单（AIBOM）（E017.2），以及面向利益相关方的共享实践（E017.3）。ASI09 预防指南特别要求带有可验证元数据的内容溯源，并要求对抗「虚假可解释性」——即智能体编造令人信服的理由以骗取人类对不安全操作的批准。透明度工件（尤其是可解释性报告与模型卡）使人类评审者能够依据可验证的文档校准信任，而不是仅仅依赖智能体生成的解释。该映射为次要映射，因为 E017 提供的是信任校准的文档层，而非直接的运行时控制。E017.2 纳入 AIBOM 与 ASI04（供应链）产生了间接关联，强化了上文缺口 3。E017 → ASI04 的潜在映射应单独评估。

范围扩展建议（非 ASI 映射）

C003 与 C004：护栏放置架构

这是一项架构设计要求：在代理型架构中，调用 AI 模型的编排层应在模型调用之前强制执行输入验证、在模型响应之后强制执行输出验证，独立于任何模型层安全机制。该建议强化了现有的 C003 → ASI09（主要映射）与 C003/C004 → ASI01（次要映射），确保护栏在模型被替换或模型层护栏被绕过时依然有效。

E011：代理型运营的数据主权

E011 记录 AI 数据处理地点与传输合规情况（E011.1、E011.2）。贡献者提出了现行需求未回答的问题：当智能体在一个地理区域收集数据后，能否在另一区域将该数据用于推理或 RAG 任务？现行数据主权框架（GDPR、数据本地化法律）是为静态处理流水线设计的。代理型系统产生动态数据流——智能体可能在单次任务执行中跨司法辖区检索数据、基于数据推理并采取行动。E011 应扩展至要求对代理型推理与检索期间的跨区域数据使用进行记录与控制，区别于训练期数据治理（后者或可依靠匿名化满足要求）。这是一项合规缺口，不映射到具体 ASI 威胁，但在架构层面与 ASI06（记忆与上下文隔离）和 ASI04（供应链数据治理）交叉。

未映射需求的更新清单

在验证上述映射之后，以下 AIUC-1 需求仍未映射到任何 OWASP 代理型十大安全风险条目。它们主要是运行在具体代理型威胁场景之上、处于治理层面的政策与流程类需求。

PRIMARY_SOURCE: https://genai.owasp.org/resource/aiuc-1-crosswalks-owasp-top-10-for-agentic-applications