AI Agent 安全观测区分攻击信号与真实副作用Agent 回复里出现危险文本不一定已经造成影响反过来回复很正常工具参数也可能越权。线上观测必须落到实际调用和副作用。记录决策与执行两层模型输出保留脱敏摘要工具网关记录调用者、参数校验、授权结果和执行状态。两层使用同一操作标识但敏感参数不进入普通日志。报警按风险分级提示注入命中可以作为低级信号越权调用被拒绝属于防线事件真实写入或外发则需要立即响应。不要把三者混成一个攻击次数。监控策略版本与工具 schema。人工确认记录决定和范围。异常重试检查是否扩大副作用。定期抽样复核对拒绝、放行和需确认样本分别抽查寻找误拒和漏拦。新增规则先影子运行确认影响后再阻断。AI 安全观测最终要回答谁试图做什么防线在哪里生效系统有没有真的改变。能回答这三点信号才有用。