核心问题: 你现有的 Agent 技术栈能否在不用 prompt 级安全约束的前提下回答：这个操作是否被允许、是哪个代理做的、能否拿出证据？
RepoDaily 采用评分
RepoDaily 将该项目的采用分评为 91/100（强）：分数来自文章来源、安装路径、生产风险、差异化、许可证清晰度以及 AI/Agent 适配度。
包含 5 个来源、覆盖 3 类来源；如有 RepoDaily 独有模块，会进一步提高证据分。
检测到 7 个工作流步骤、5 个下一步动作，以及 4 个命令/安装信号。
趋势热度为 +443 stars；如内容中有 release、issue 或维护信号，会提高维护可信度。
采纳风险标记为 medium，并包含 6 条安全说明与 4 条跳过条件。
3 个机会视角、4 个替代方案，以及 3 个类型化模块支撑差异化判断。
文章中包含许可证来源或许可证表述。
文章正文和元数据中检测到 7 个 AI/Agent 相关信号。
项目概览
微软推出的 Agent Governance Toolkit（AGT）针对的是大多数 Agent 框架留下的一个空白：当自主代理接入工具、数据库和其他代理之后，框架控制的是代理能访问哪些服务，而不是代理在接入之后具体做了什么。OAuth scope 和 IAM 角色管控的是服务级入口，不是具体的调用动作。AGT 作为确定性策略引擎、身份层、沙箱和审计日志，坐在代理和受保护资源之间，宣称覆盖 OWASP Agentic Top 10 的全部 10 个类别。
项目的核心论点是：prompt 级安全不是控制面。README 引用了 OWASP LLM01:2025 关于 prompt injection 的表述，以及 Andriushchenko 等人在 ICLR 2025 发表的研究——在 GPT-4o、GPT-3.5、Claude 3 和 Llama-3 上使用自适应攻击实现了 100% 攻击成功率。AGT 的应对方式是将 LLM 完全移出策略路径：策略引擎按 YAML 规则做确定性评估，每条决策写入追加式、密码学链式审计日志。
代码仓库是一个多语言 monorepo。Python 是主要接入面，TypeScript、.NET、Rust 和 Go SDK 同步发布。截至 2026-06-25 发布的 v5.0.0，五种语言的全部一方包统一对齐到 5.0.0 版本。v4.0.0 将 45 个 Python 包整合为 5 个发行版：agent-governance-toolkit-core、agent-governance-toolkit-runtime、agent-governance-toolkit-sre、agent-governance-toolkit-cli 和 agent-governance-toolkit[full]。文档站显示 3,700+ GitHub stars、10 份正式规格、5 种支持语言、19 项集成。
AGT 目前处于 Public Preview。README 和 CHANGELOG 都明确说明：发布版本由微软签名、达到生产质量，但在 GA 之前可能包含 breaking change。当前未发布的 0.4.0b0 将 acs-generator 改为纯 CLI 工具，移除了 GenerationEngine 和 FakeLanguageModel 等顶层库导出。现在接入的团队需要对 API 变动有心理准备。
为什么现在变热
- 2026-07-30 当期 443 stars、趋势排名 11，背后是企业将自主代理从原型推向生产时撞上治理缺口的真实需求
- 宣称覆盖 OWASP Agentic Top 10 的 10/10 类别，配套发布了架构文档 docs/compliance/owasp-agentic-top10-architecture.md
- monorepo v5 对齐（2026-06-25）将 ACS（Agent Control Specification）作为统一策略层落地，同时新增 nono 沙箱 provider 和 RingEnforcer 命令黑名单
- 五种语言 SDK 覆盖（Python、TypeScript、.NET、Rust、Go），是少数适配多语言技术栈而非仅限 Python 生态的代理治理项目
- 由微软背书，MIT 许可证，拥有 OpenSSF Scorecard 徽章、OpenSSF Best Practices 徽章（项目 12085）、SLSA 构建溯源和 SECURITY.md 中完整的威胁模型
解决什么问题
- 操作授权缺口：拥有 send_email 和 query_database 权限的代理并不被 OAuth scope 或 IAM 角色阻止调用 drop_table——这些控制的是接入哪个服务，不是执行哪个动作
- 身份归因缺口：在多代理系统中，5 个代理可能共用一个 API key，出了事只说'某个代理干的'对事件响应毫无价值
- 审计缺口：审计师和监管方需要每条策略决策的防篡改记录——当时生效的策略、代理的请求、允许或拒绝的原因，而不是 prompt 日志
- Prompt injection 现实：README 引用的公开研究显示主流 LLM 的攻击成功率达到 100%，从根本上动摇了 prompt 级安全作为控制手段的可信度
工作原理
- 通过 pip install agent-governance-toolkit[full] 安装工具包，该命令会拉取 v4.0.0 整合后的 core、runtime、SRE 和 CLI 发行版
- 用 YAML 定义策略。README 的快速上手展示了 govern(my_tool, policy='policy.yaml') 这两行代码的接入路径：包装任意工具函数，safe_tool 在每次调用时评估策略
- 策略引擎（agent_os）做确定性评估。SECURITY.md 明确写道：'确定性评估，策略路径中不含 LLM；有正式规格一致性测试。'
- AgentMesh 身份层为每个代理分配密码学身份（DID），每个动作都可归因，防止多代理委派链中的身份伪造
- 执行沙箱在内核级隔离中运行代理工具调用。v5.0.0 新增 NonoSandboxProvider，通过 nono-py 绑定使用 Linux Landlock 或 macOS Seatbelt，支持策略驱动的出口代理和 AST 预扫描
- 每条决策流入追加式审计日志，采用密码学链式结构。SECURITY.md 将审计篡改列为核心威胁类别之一，要求运维方将日志写入代理无权访问的外部追加式存储
- 对于外部策略后端，AGT 集成了 OPA（Rego）和 Cedar。v5.0.0 的修复（#2861）确保 folder-scoped 后端决策在 audit_entry 中包含 policy、backend、evaluation_ms、context_snapshot 和 timestamp 字段
架构：四个组件，一个信任边界
AGT 围绕四个命名组件组织，各自在 SECURITY.md 中有明确的安全范围。agent_os 是策略引擎和信任锚——确定性、无 LLM。agentmesh 是身份和信任层，处理 DID、密钥材料、信任分数和证明。agent_sandbox 是执行隔离层（v5.0.0 新增 nono provider）。agent_compliance 负责安全扫描和合规测试。
SECURITY.md 定义了三段信任边界：AI 代理（不受信）连接 AGT 策略引擎（信任锚），策略引擎控制对受保护资源的访问，每条决策同步到防篡改审计日志。运维指引非常明确：策略引擎要作为独立进程或 sidecar 运行，不能嵌入代理自身进程，以防被入侵的代理修改评估逻辑。代理不能拥有对自身审计日志的写权限。
命令面与集成点
- pip install agent-governance-toolkit[full]——docs/index.md 中的主要安装命令
- govern(my_tool, policy='policy.yaml')——文档快速上手中的两行工具包装
- pip install agt-sandbox[nono]——v5.0.0 新增的可选 nono 沙箱 provider（Landlock/Seatbelt）
- acs-generator CLI——生成 ACS manifest；在未发布的 0.4.0b0 中变为纯 CLI，移除 GenerationEngine 和 FakeLanguageModel 等库导出
- RingEnforcer.check_command()——v5.0.0 新增方法，对子进程命令做大小写不敏感匹配并剥离 ;、&、| 等 shell 元字符，防止注入绕过
- 策略后端：OPA（Rego）和 Cedar 用于外部评估；folder-scoped 决策现已包含完整上下文字段（修复 #2861）
- 集成数量：19 项，涵盖 LangChain、AutoGen、CrewAI 和 Bedrock 适配器，这些适配器共享同一个 PII_PATTERNS 常量（#2635）
维护与版本变动风险
AGT 处于 Public Preview，CHANGELOG 写得很直白：'生产质量，但 GA 前可能有 breaking change。'从 4.x 到 5.0.0 的跳变是 monorepo 级别的，Python、TypeScript、.NET、Rust 和 Go 包同时升版，内部跨包版本上限从 <5.0 拓宽到 <6.0。独立版本号的 policy-engine ACS 引擎保持 0.3.1-beta，Go 模块单独打 tag。
未发布的 0.4.0b0 变更会破坏 acs-generator 的使用者：顶层库导出被移除，验证逻辑迁至 agent_control_specification.validation 下。今天依赖 GenerationEngine 或 FakeLanguageModel 的脚本需要迁移。项目用强有力的供应链卫生来弥补——SLSA 溯源、微软签名发布、OpenSSF Scorecard、每周安全审计——但 API 面仍在变动。
谁适合关注
适合关注
- 代理会调用真实生产工具（邮件、数据库、支付、文件系统）且错误调用有实际爆炸半径的团队
- 多代理系统中因共享 API key 而无法做逐代理归因的场景
- 金融、医疗、公共部门等受监管行业，需要为自主决策提供可辩护的防篡改审计链
- 前端 TypeScript、后端 .NET 或 Rust 的多语言技术栈——五种语言 SDK 的覆盖不用强行统一到一个运行时
可以先跳过
- 没有工具调用的单轮聊天机器人或无状态 LLM 包装器——治理开销没有意义
- 尚未将代理部署到生产、仍在原型阶段的团队——等有真实爆炸半径时再接入
- 已锁定单一框架且该框架本身已提供策略执行和审计的团队，除非需要跨框架标准化
- 无法容忍 GA 前 breaking change 的项目，考虑到已记录的 v4→v5 和 0.4.0b0 变动
风险与注意事项
由微软背书、供应链卫生扎实，但 Public Preview 状态、monorepo 级版本变动和 ACS 策略编写的学习曲线，对现在锁定的团队构成了真实的集成风险。
- Public Preview，GA 前有 breaking change——v5.0.0 是 monorepo 级升版，0.4.0b0 移除库导出
- ACS（Agent Control Specification）策略编写是新的 DSL——团队需要学习 YAML 策略定义，外部后端还需可选的 OPA Rego 或 Cedar
- nono 等沙箱 provider 需要 Linux Landlock 或 macOS Seatbelt 内核支持——部署环境必须满足内核要求
- SECURITY.md 运维指引要求策略引擎作为独立进程或 sidecar 运行，增加了基础设施复杂度
- SECURITY.md 定义了七类威胁及对应的 AGT 缓解措施：策略绕过、身份伪造、审计篡改、预算逃逸、工具调用注入、供应链攻击、委派提权
- 策略引擎评估路径不含 LLM——确定性评估加正式规格一致性测试
- 审计日志为追加式，采用密码学链式结构；运维方需将日志写入代理无写权限的外部存储
- 供应链：SLSA 构建溯源、依赖审查、每周安全审计、微软签名发布
- README 展示 OpenSSF Scorecard 和 OpenSSF Best Practices（项目 12085）徽章
- 漏洞报告发送至 secure@microsoft.com，SECURITY.md 承诺 24 小时内确认、72 小时内给出详细回复
替代方案比较
| 方案 | 适用场景 | 代价 |
|---|---|---|
Open Policy Agent (OPA) | 已有 OPA 基础设施，想用 Rego 编写代理策略，不需要专门的代理治理层 | 开源（Apache 2.0） |
Cedar（亚马逊） | 技术栈以 AWS 为主，需要专门设计的策略语言做细粒度授权 | 开源（Apache 2.0） |
Lakera Guard | 主要需求是 prompt injection 和内容过滤，而非逐操作策略执行和审计 | 商业 SaaS |
自研中间件 | 代理规模足够小，自定义策略加日志层的成本低于学习 AGT 的 ACS 规格的成本 | 工程时间投入 |
这个趋势说明了什么
咨询切入点：企业级 ACS 策略编写
ACS（Agent Control Specification）是新的基于 YAML 的策略 DSL。采用 AGT 的企业需要帮助来编写、审查和维护映射 OWASP Agentic Top 10 控制的策略文件。这对安全咨询公司是具体的交付物。
阅读 docs/compliance/owasp-agentic-top10-architecture.md 和 v5.0.0 changelog 中 ACS 部分。数一数 10 个 OWASP 类别中有多少需要自定义策略规则、多少是内置执行。
托管式代理治理 sidecar
SECURITY.md 要求策略引擎以独立进程或 sidecar 运行。一个打包 agent_os + 审计日志投递 + ACS 验证的托管部署方案，可以降低缺乏平台工程能力的团队的运维负担。
查看 SECURITY.md 的运维指引和文档中的部署模式。确认 AGT 是否提供了 sidecar 部署清单，还是需要运维方自行构建。
多框架治理适配器业务
AGT 已发布 LangChain、AutoGen、CrewAI 和 Bedrock 适配器。新的代理框架（MCP 原生、A2A 协议）将需要治理适配器。构建和维护这些适配器是一个小众但可防御的产品面。
审阅 CONTRIBUTING.md 中 agent_os.integrations 下的适配器列表和 #2635 的 PII_PATTERNS 合并。对比已有适配器和缺少覆盖的主流框架。
RepoDaily 判断
AGT 解决了一个真实且有据可查的问题——自主代理需要确定性执行、逐代理身份和防篡改审计，而不是 prompt 级安全。OWASP Agentic Top 10 映射、多语言 SDK 覆盖和微软背书的供应链卫生使其成为当前最具可信度的代理治理方案之一。代价是 Public Preview 阶段的 API 变动和 ACS 策略编写的学习曲线。有生产代理部署和真实爆炸半径的团队现在就该评估；仍在原型阶段的团队可以等 GA。