束缚智能体：面向医疗领域的自主 AI 的零信任安全架构

由大型语言模型驱动的自主 AI 智能体正在生产环境中部署，具备 shell 执行、文件系统访问、数据库查询和多方通信等能力。近期的红队测试研究表明，这些智能体在真实场景中存在关键漏洞：未经授权地遵从非所有者指令、泄露敏感信息、身份伪造、跨智能体不安全实践传播，以及通过外部资源进行的间接提示注入[7]。在处理受保护健康信息(Protected Health Information)的医疗环境中，这些漏洞都可能构成潜在的 HIPAA 违规。本文介绍了部署于医疗科技公司生产环境中九个自主 AI 智能体的安全架构。我们构建了涵盖凭证暴露、执行能力滥用、网络出口数据 exfiltration、提示完整性失效、数据库访问风险以及 fleet 配置漂移六大威胁模型，用于医疗场景下的 agentic AI。我们实现了四层深度防御：(1) 基于 gVisor 的 Kubernetes 内核级工作负载隔离，(2) 凭证代理 sidecar 防止智能体容器访问原始密钥，(3) 限制每个智能体仅访问允许列表目的地的网络出站策略，(4) 带结构化元数据信封和不可信内容标记的提示完整性框架。我们报告了 90 天部署结果，包括由自动化安全审计智能体发现并修复的四项高危发现、跨三代 VM 镜像的渐进式 fleet 加固，以及将防御覆盖范围映射到最新文献中全部十一种攻击模式。所有配置、审计工具以及提示完整性框架均以开源形式发布。