Anthropic CISO Jason Clinton 在 2026 年 7 月发布了一套 Agent 安全评估框架。框架核心是四个问题覆盖内容信任、权限边界、爆炸半径、可观测性四个维度。根据 Anthropic 内部测试超过 60% 的 Agent 部署案例至少触发一个红牌信号其中权限配置过宽是最常见的问题占红牌案例的 72%。这套框架把Agent 能不能上线从拍脑袋决定变成了可操作的 checklist适合任何规模的团队在部署前做安全体检。为什么需要专门给 Agent 做安全框架Agent 和传统 AI 应用的安全模型完全不同。传统 AI 应用是输入到输出的单向流程安全边界清晰。Agent 是感知、决策、行动的循环流程它会自己调用系统、访问数据、执行操作。根据信通院 2026 年报告54% 的企业遭遇过 Agent 相关安全事件但只有 32% 的 Agent 配置了独立身份凭证。一个没有被正确约束的 Agent可能在你不注意的时候调用了不该调的接口。Anthropic CISO Jason Clinton 提出的四问法就是为了解决这个问题。它不是一套抽象的安全理论而是一个上线前必须过的 checklist让团队在 Agent 上线前有一个具体的评估标准。四个问题分别问什么四问法的四个问题覆盖了 Agent 安全的四个维度内容信任、允许动作、爆炸半径、可观测性。每个维度都有红牌和黄牌信号帮助团队快速判断风险等级。问题核心关注红牌信号黄牌信号内容可信吗Prompt 注入、数据污染无输入验证、直接执行用户输入有验证但不完整能做什么权限边界、操作范围可以删库、可以转账可以写文件但不可删爆炸半径多大单次错误影响范围影响全量用户数据影响单用户可观测吗审计、监控、回滚无日志、不可回滚有日志但无实时告警第一个问题内容可信吗关注的是 Agent 接收到的输入。Agent 会读取用户消息、外部数据源、API 返回结果这些内容里可能藏着 prompt 注入攻击。如果你的 Agent 直接执行用户输入而没有验证机制这是红牌。有验证但覆盖不全黄牌。第二个问题能做什么关注的是 Agent 的权限范围。一个能删库的 Agent 和一个只能查订单的 Agent风险等级差了几个数量级。关键不是 Agent 能做什么而是它被允许做什么。动作审批阈值需要设置合理高风险操作必须有人工确认环节。第三个问题爆炸半径多大关注的是最坏情况。如果 Agent 出了一个错误操作影响的是一个用户还是全量用户是单笔订单还是整个数据库爆炸半径越大需要的缓解措施越多。金额上限、操作次数限制、人工抽查这些都是常见的缓解手段。第四个问题可观测吗关注的是你能不能看见 Agent 的行为。审计日志是底线实时监控是标配异常检测和回滚能力是加分项。一个没有日志的 Agent 出了问题你连原因都查不到这在生产环境是不可接受的。小团队也能用这套框架吗四问法最适合的其实是中小团队。大公司有专门的安全团队做评估小团队往往靠直觉判断应该没问题。四问法的价值在于它把安全评估拆成了四个具体问题每个问题都有明确的红黄牌标准不需要安全专家也能做基本判断。团队可以花一个小时过一遍这四个问题把每个问题的答案写下来看看有没有红牌信号。有人会问这套框架和信通院的安全指南有什么区别。Anthropic 的框架更偏技术实现和操作层面关注的是 Agent 在系统里到底能做什么、出了事怎么办。信通院的指南更偏治理和标准层面关注的是组织层面的合规和管理流程。两者互补不冲突有条件的话可以一起用。如果你正在准备 Agent 上线可以在 sophnet.com 上先用 Sophclaw 做一轮安全自检把四问法的每个维度过一遍生成交付物的安全评估报告。