为了从根源上解决 AI Agent 的安全困境，字节跳动安全研究团队提出了全新的智能体安全框架 Jeddak AgentArmor。它意味着，我们可以将对模糊、善变的“自然语言”的分析，转变为对精确、严谨的“程序语言”的分析。
“AgentArmor 的设计哲学 —— 将 AI Agent 运行时的行为轨迹，视为一段可分析、可验证的结构化程序。”
![]()
AgentArmor 设计了三大核心组件：
-
图构建器 (Graph Constructor) 负责将 AI Agent 运行时线性的行为轨迹实时转换为一个结构化的程序依赖图（Program Dependency Graph），捕获控制流和数据流，让 AI Agent 的“思维链”与“行为链”一目了然。
-
属性注册表 (Property Registry) 一个丰富的安全元数据库，负责为图中的每一个节点（工具、数据）附加安全属性。对于未知的未知工具、MCP、三方服务等，自动挖掘其数据操作流程，生成对应安全等级。
-
类型系统 (Type System) 类型即“安全等级”，类型系统将在程序依赖图上自动推导新节点的安全等级，并执行基于安全等级的策略校验，在风险行为发生前精准识别，并给出风险响应建议，如升密、降密、告警、拦截等
![]()
在 AI Agent 工作时，AgentArmor 首先借助图构建器，将 AI Agent 运行过程中的执行轨迹迅速且精准地转化为程序依赖图，从而清晰呈现其控制流与数据流。接着，依靠属性注册表进一步完善程序依赖图，不仅详细添加 AI Agent 调用工具的内部数据流细节，还为程序依赖图中的数据节点与行为节点设置初始类型，以此赋予各节点安全属性。最后，通过类型系统全面完善整个图中的类型标签，并严格对程序依赖图开展类型检查，以切实防止任何不安全的操作出现，确保 AI Agent 的运行安全。
AgentArmor 类型系统中囊括了三大类型，满足用户与社会对于 AI Agent 在不同侧面上的安全期待：
测试结果表明，在 AI Agent 因遭受攻击而执行风险行为的案例中，AgentArmor 成功拦截比例达93%。与未受保护相比，AgentArmor 将针对 AI Agent 的攻击成功率从28%显著降至4%；特别是在指令覆盖等攻击模式下，攻击成功率降至0%。gentArmor 使 AI Agent 正常完成用户任务的能力从73%轻微降至72%，降幅仅1%。
![]()
AgentArmor 受“零信任”架构与理念启发，确保所有对外行为都经过输出验证。通过“运行态执行交互”与“控制态策略决策”双向联动，与 AI Agent 深度集成，在不改变其原有功能架构的前提下构建全流程安全防护体系，核心模块是：
- 策略执行点 是执行枢纽，将 AI Agent 的不可信行为化为可信。一方面，镜像 AI Agent 的 LLM 调用流量，采集上下文，为策略决策提供输入；另一方面，根据策略决策点结果，允许可信调用通行，阻断或缓解不可信行为。
- 策略决策点 是智能决策核心，输出安全决策。先通过行为轨迹采集获取 AI Agent 行为信息，经行为表示转化后，结合动态策略生成与行为安全分析，识别风险并响应，进而对行为进行判断，输出策略决策结果给策略执行点。
在 AI Agent 运行时，AgentArmor 的安全工作流是：
- 行为采集 收到用户请求后，策略执行点以上下文为载体，采集 AI Agent 的不可信行为并传送至策略决策点。
- 安全研判 策略决策点进行分析，将安全判断结果返回策略执行点。
- 行为干预 策略执行点对不可信行为采取拦截、降密、审计等干预措施。
此集成模式覆盖用户交互、LLM 调用、环境调用全链路，通过“行为数据-策略结果”实时联动，支持快速响应业务变化或新型攻击，使 AI Agent “能干活”且“不闯祸”，形成“可感知、可干预、可进化”的安全共生体。
AgentArmor 的概念发布只是一个开始。未来，字节跳动安全研究团队将着力于 AgentArmor 核心技术的迭代升级，把目光聚焦在技术能力的产品化封装层面；同时，逐步把核心能力拓展至 AI Coding、ChatBI Agent、OS Agent 等垂直领域，为这些领域的智能应用提供支持。
更重要的是，团队计划将 Jeddak AgentArmor 的核心框架开源。
