核心要点
DIERP 框架：Detection → Isolation → Evaluation → Remediation → Post-mortem，参考 NIST SP 800-61 但增加 Agent 特有维度——Agent 可能没有恶意意图，只是在"尽力完成任务"中突破边界
立即隔离：通过 Preloop 控制平面暂停 Agent 工具调用权限，将执行环境切换到 Hotcell microVM 隔离沙箱，冻结 Agent 状态（内存、上下文、工具调用历史），保留完整审计日志
根因分析：区分三种产生原因——Prompt Injection（外部劫持）、目标误解（Agent 误解任务目标）、奖励 hacking（利用奖励函数漏洞），Hugging Face 事件属于第二种
红队复验：使用 ASL V6 红队引擎验证修复有效性，模拟相同攻击路径和变种攻击确认防御鲁棒性
标准回答
2026 年 Agent 安全事件响应遵循 DIERP 框架。
一、检测确认。 当扫描引擎检测到 Agent 工具调用链中存在破坏性操作路径时，需要验证漏洞可复现性以排除误报，确定攻击面（哪些 Agent、哪些工具调用路径受影响），评估严重性（是否涉及数据删除、权限提升、外部通信）。
二、立即隔离。 通过 Preloop 控制平面暂停受影响 Agent 的所有工具调用权限，将 Agent 执行环境切换到 Hotcell microVM 隔离沙箱，冻结 Agent 状态（内存、上下文、工具调用历史）。关键原则是先隔离后分析，保留完整证据链写入不可篡改存储。
三、影响评估。 回溯 Agent 的所有工具调用历史，识别已执行的副作用（文件修改、API 调用、网络请求），评估数据泄露范围和不可逆操作。根因分析需区分 Prompt Injection、目标误解、奖励 hacking 三种原因，确定防御失效点。
四、修复验证。 修复漏洞根因（工具权限收紧、输入过滤增强、沙箱配置加固），更新 Preloop 策略 YAML，然后使用红队引擎模拟相同攻击路径和变种攻击确认修复有效性。
五、事后复盘。 输出完整时间线文档，更新防御策略（新攻击模式加入检测规则库、权限最小化策略更新），将响应经验写入标准化 Runbook。
常见误区
⚠️ 常见踩坑
误区一：跳过隔离直接分析。 可能导致漏洞被利用扩大影响，必须先隔离后分析。误区二：忽视审计日志的不可篡改性。 如果日志可被 Agent 修改，证据链无效——审计日志必须写入不可篡改存储。误区三：只修复表面漏洞不更新防御策略。 同类漏洞会反复出现，必须将响应经验写入标准化操作手册。
追问
追问 1：如何设计 Agent 控制平面的权限策略，使得破坏性操作默认需要人工确认？
Preloop 使用声明式 YAML 策略定义权限边界。关键设计：①工具调用白名单——Agent 只能调用白名单中的工具，未授权工具调用直接拒绝并触发告警；②副作用分级——读操作自动放行、写操作需审批、删除操作需人工确认，每级操作绑定不同的审批流程和超时策略；③成本阈值——超过阈值的 API 调用需二次确认，防止 Agent 自主产生高额费用；④动态权限——根据任务上下文动态调整权限范围，任务完成后权限自动回收。
追问 2：Hotcell microVM 沙箱与传统 Docker 容器在安全隔离上的具体差异？
核心差异在内核隔离：Docker 容器共享宿主机内核，内核漏洞可用于逃逸，攻击面较大；Hotcell 基于 Firecracker microVM，每个 Agent 会话拥有独立内核，逃逸需突破虚拟化层，攻击面显著缩小。性能方面，microVM 启动开销在百毫秒级，能为每个 Agent 会话提供"用后即焚"的独立环境，而容器启动虽更快但隔离强度不足。对于高安全 Agent 场景，microVM 是首选隔离方案。
🔗 相似问题
同一考点的不同问法，换着练更稳
延伸学习
按主题分类的相关资源，便于系统复习