Anthropic CISO Jason Clinton 在 2026 年 7 月发布了一套 Agent 安全评估框架。框架核心是四个问题，覆盖内容信任、权限边界、爆炸半径、可观测性四个维度。根据 Anthropic 内部测试，超过 60% 的 Agent 部署案例至少触发一个红牌信号，其中权限配置过宽是最常见的问题，占红牌案例的 72%。这套框架把"Agent 能不能上线"从拍脑袋决定变成了可操作的 checklist，适合任何规模的团队在部署前做安全体检。
为什么需要专门给 Agent 做安全框架？
Agent 和传统 AI 应用的安全模型完全不同。传统 AI 应用是"输入到输出"的单向流程，安全边界清晰。Agent 是"感知、决策、行动"的循环流程，它会自己调用系统、访问数据、执行操作。根据信通院 2026 年报告，54% 的企业遭遇过 Agent 相关安全事件，但只有 32% 的 Agent 配置了独立身份凭证。一个没有被正确约束的 Agent，可能在你不注意的时候调用了不该调的接口。
Anthropic CISO Jason Clinton 提出的"四问法"，就是为了解决这个问题。它不是一套抽象的安全理论，而是一个上线前必须过的 checklist，让团队在 Agent 上线前有一个具体的评估标准。
四个问题分别问什么？
四问法的四个问题覆盖了 Agent 安全的四个维度：内容信任、允许动作、爆炸半径、可观测性。每个维度都有红牌和黄牌信号，帮助团队快速判断风险等级。
| 问题 | 核心关注 | 红牌信号 | 黄牌信号 |
|---|---|---|---|
| 内容可信吗？ | Prompt 注入、数据污染 | 无输入验证、直接执行用户输入 | 有验证但不完整 |
| 能做什么？ | 权限边界、操作范围 | 可以删库、可以转账 | 可以写文件但不可删 |
| 爆炸半径多大？ | 单次错误影响范围 | 影响全量用户数据 | 影响单用户 |
| 可观测吗？ | 审计、监控、回滚 | 无日志、不可回滚 | 有日志但无实时告警 |
第一个问题"内容可信吗"关注的是 Agent 接收到的输入。Agent 会读取用户消息、外部数据源、API 返回结果，这些内容里可能藏着 prompt 注入攻击。如果你的 Agent 直接执行用户输入而没有验证机制，这是红牌。有验证但覆盖不全，黄牌。
第二个问题"能做什么"关注的是 Agent 的权限范围。一个能删库的 Agent 和一个只能查订单的 Agent，风险等级差了几个数量级。关键不是 Agent 能做什么，而是它被允许做什么。动作审批阈值需要设置合理，高风险操作必须有人工确认环节。
第三个问题"爆炸半径多大"关注的是最坏情况。如果 Agent 出了一个错误操作，影响的是一个用户还是全量用户？是单笔订单还是整个数据库？爆炸半径越大，需要的缓解措施越多。金额上限、操作次数限制、人工抽查，这些都是常见的缓解手段。
第四个问题"可观测吗"关注的是你能不能看见 Agent 的行为。审计日志是底线，实时监控是标配，异常检测和回滚能力是加分项。一个没有日志的 Agent 出了问题你连原因都查不到，这在生产环境是不可接受的。
小团队也能用这套框架吗？
四问法最适合的其实是中小团队。大公司有专门的安全团队做评估，小团队往往靠直觉判断"应该没问题"。四问法的价值在于，它把安全评估拆成了四个具体问题，每个问题都有明确的红黄牌标准，不需要安全专家也能做基本判断。团队可以花一个小时过一遍这四个问题，把每个问题的答案写下来，看看有没有红牌信号。
有人会问这套框架和信通院的安全指南有什么区别。Anthropic 的框架更偏技术实现和操作层面，关注的是 Agent 在系统里到底能做什么、出了事怎么办。信通院的指南更偏治理和标准层面，关注的是组织层面的合规和管理流程。两者互补不冲突，有条件的话可以一起用。
如果你正在准备 Agent 上线，可以在 sophnet.com 上先用 Sophclaw 做一轮安全自检，把四问法的每个维度过一遍，生成交付物的安全评估报告。
