微软推出Agent Governance Toolkit开源项目，直击OWASP十大AI Agent风险

微软近日悄然推出Agent Governance Toolkit开源项目旨在企业将AI Agent投入生产工作流时对其执行过程进行监控与管理。该项目直接对标OWASP开放全球应用安全项目最新发布的十大Agentic AI威胁清单重点防范运行时可能出现的提示词注入、恶意Agent及工具滥用等问题。应对分布式AI环境的安全挑战微软首席工程经理Imran Siddique在博客中表示该工具包新增运行时安全层通过策略执行来缓解提示词注入等风险并提升对复杂多步骤工作流中Agent行为的可视性。其设计初衷源于AI系统日益类似于缺乏监管的分布式环境——多个不可信组件共享资源、自主决策并与外部交互却缺乏有效监督。Siddique补充道这促使微软借鉴操作系统、服务网格和站点可靠性工程中的成熟设计模式为AI Agent环境引入结构化、隔离与控制机制。最终形成的工具包包含七大组件支持Python、TypeScript、Rust、Go和.NET等多种语言。覆盖OWASP十大核心风险该工具包专门针对OWASP定义的Agentic系统十大风险设计包括目标劫持工具滥用身份冒用供应链风险代码执行漏洞记忆污染不安全通信级联故障人机信任滥用恶意Agent核心组件包括Agent OS策略执行层Agent Mesh安全通信与身份框架Agent Runtime执行控制环境Agent SRE可靠性保障模块Agent Compliance合规性管理Agent Lightning强化学习监督系统无缝集成现有开发生态Siddique强调我们从第一天就坚持框架无关的设计理念。每个集成点都对接原生扩展接口——无论是LangChain的回调处理器、CrewAI的任务装饰器、Google ADK的插件系统还是微软Agent Framework的中间件管道。添加治理功能无需重写Agent代码。这种设计能显著降低集成成本与风险使开发者无需重构应用即可为生产系统引入治理控制。目前已有LlamaIndex的TrustedAgentWorker等集成方案投入实际生产。该工具包现以MIT许可证开放公测采用可独立安装的模块化架构。微软计划未来将其移交基金会管理并正与OWASP Agentic AI社区合作推进治理标准建设。