传统供应链安全聚焦 npm 包锁定、Docker 镜像 GPG 签名与 CVE 扫描，属于静态确定性问题的防护。而 AI 代理工作流中，LLM 自主规划、执行代码并调用 API，威胁已转向动态语义风险——代理可能产生"逻辑溢出"，幻觉依赖、泄露上下文或执行看似合理却具破坏性的命令序列。旧工具无法审计思维过程，也无法扫描推理轨迹。
应对这一新生态，防御策略需转向两大支柱：本地 LLM 用于隔离，代理评估护栏（Agent Eval Harness）用于验证。将代理推理外包给公共 API 会暴露三个关键向量：专有上下文（代码、PII、业务逻辑）离开企业边界造成数据泄露；从被攻陷的外部源（如 GitHub 仓库、恶意文档页）检索上下文可能触发提示注入；供应商隔夜更新模型可能突然改变安全护栏或推理模式，导致合规或逻辑失效。
本地推理（如 Llama 3、Mistral、Qwen）提供数据主权与行为稳定性，提示、检索文档与输出均不离开基础设施，且可独立于供应商发布周期进行补丁、更新或回滚。评估护栏则作为规划与执行阶段之间的持续验证层，从语义正确性、安全合规、鲁棒性三个维度评估代理输出，常用小型 LLM 作为"法官"实时审查主代理动作，将主观安全顾虑转化为确定性代码路径。
生产级防御架构包含六层：输入净化扫描提示注入模式；本地 LLM 生成计划与代码；实时评估护栏检查工具使用越权、危险代码与数据隐私；高风险动作（如数据库删除、敏感数据外部调用）暂停等待人工审核；代码在最小权限的容器化临时环境执行；推理步骤、评估决策与执行结果全部不可变审计日志记录。
针对评估护栏误报，可采用分层方法，允许标记动作并建立开发者反馈循环标注误报，随时间微调法官模型或调整提示模板降低噪音，高风险动作存在歧义时默认人工审核。本地推理延迟方面，现代硬件（如 NVIDIA L40S、H100）配合 vLLM 或 TensorRT-LLM 等优化引擎可极快运行，延迟敏感场景可考虑小型本地模型预过滤加大型模型复杂推理的混合架构，或用量化技术降低延迟。
AI 代理正从聊天机器人迈向可执行复杂多步任务的自主代理，单一指令误读可能导致数据丢失、财务欺诈或安全漏洞。传统"信任但验证"思维已不足，AI 时代须"先验证后信任"。本地 LLM 提供受控环境，评估护栏提供严格验证，二者共同构成新的供应链防御体系。工程师需将 AI 供应链安全视为核心能力，而非事后补救。
#GitHub #开源 #AI安全 #LLM #供应链安全 #本地推理 #代理评估
@GitHubTrendingHub