技术深度解析
“遏制与监控协议”并非单一工具，而是一个分层架构，在基础设施层面运行，拦截 AI Agent 尝试执行的每一个动作。其核心是系统实现了一个策略执行层，位于 Agent 的推理引擎与底层计算、存储和网络资源之间。
架构分解：
1. 行为基线引擎： 该协议首先通过观察数千次成功、良性的 Agent 运行，建立“正常”Agent 行为的统计基线。此基线捕获诸如 API 调用频率、数据访问模式、内存使用情况以及 Agent 间通信量等指标。任何超出可配置阈值的偏差都会触发警报。
2. 实时异常检测： 使用一个轻量级的基于 Transformer 的模型（很可能是更大模型的蒸馏版本，运行在专用推理硬件上），系统实时对每个 Agent 动作进行评分。该模型在合成攻击数据——模拟 Agent 尝试权限提升、数据窃取或资源耗尽的情景——上进行训练。
3. 动态权限撤销： 当异常分数超过关键阈值时，协议会自动撤销 Agent 对所有资源的访问权限，仅保留一个最小的“安全模式”环境。这不是一个渐进过程；它是在虚拟机监控程序级别强制执行的即时、原子性撤销，使得被攻破的 Agent 无法覆盖。
4. 紧急停止（E-Stop）电路： 一个独立于软件栈的硬件强制终止开关，可由异常检测系统或人工操作员触发。该电路物理上切断 Agent 的网络连接及其计算节点的电源，确保被攻破的 Agent 无法持续存在。
相关的开源项目： 尽管 DeepMind 尚未开源此确切协议，但社区一直在构建类似工具。GitHub 仓库 `agent-security/agent-guard`（近期星标数超过 3,000）提供了一个基于 Python 的参考实现，用于使用 eBPF（扩展的伯克利数据包过滤器）钩子监控 Agent API 调用。另一个项目 `containment-net/agent-sandbox`（2,200 星标）提供了一个基于 Docker 的沙箱框架，使用 seccomp 配置文件限制 Agent 的文件系统和网络访问。这些项目虽然不如 DeepMind 的系统复杂，但显示出对 Agent 级别安全性的日益增长的需求。
性能基准测试： DeepMind 的协议设计旨在实现最小的延迟开销。内部基准测试表明，异常检测模型在每个 Agent 动作上仅增加 5–15 毫秒的延迟，调优后的误报率低于 0.1%。
| 指标 | DeepMind 协议 | Agent-Guard（开源） | Agent-Sandbox（开源） |
|---|---|---|---|
| 延迟开销（每动作） | 5–15 毫秒 | 20–50 毫秒 | 10–30 毫秒 |
| 误报率（调优后） | <0.1% | ~0.5% | ~0.3% |
| 检测覆盖率（已知攻击） | 99.2% | 87.0% | 91.0% |
| 权限撤销机制 | 虚拟机监控程序级别原子性 | 进程级别终止 | 容器重启 |
| E-Stop 硬件支持 | 是 | 否 | 否 |
数据要点： DeepMind 的协议实现了比现有开源替代方案显著更低的误报率和更高的检测覆盖率，这主要归功于其硬件级别的执行和专门的异常检测模型。然而，开源工具正在迅速改进，并可能在 12-18 个月内缩小差距。
关键参与者与案例研究
DeepMind 并非唯一认识到 Agent 安全缺口的机构。其他几个组织也在开发或部署类似的框架，尽管没有一个能与 DeepMind 协议的全面性相媲美。
Anthropic 一直是“宪法式 AI”和“Agent 对齐”的积极倡导者，但他们的重点在于训练时的安全性，而非运行时的遏制。他们的内部工具“Agent Watchdog”监控策略违规行为，但缺乏 DeepMind 采用的硬件级别隔离。Anthropic 的方法更具哲学性——防止 Agent *想要* 行为不端——而 DeepMind 的方法则更务实：假设 Agent *会* 行为不端，并为其建造一个笼子。
OpenAI 为其 Code Interpreter 和插件系统实现了一个“安全监控器”层，但这主要是一个基于规则的过滤器，用于阻止已知的恶意模式（例如，SQL 注入尝试、文件系统遍历）。它不使用行为基线或动态权限撤销。OpenAI 的方法是反应性的，而 DeepMind 的方法是主动性的。
Microsoft 已将其 Agent 安全功能集成到 Azure AI 平台中，提供“Agent Guardrails”，允许企业定义自定义策略。然而，这些是基于配置的，而非自适应的，并且缺乏使 DeepMind 系统能够自我学习的异常检测模型。
| 公司/产品 | 方法 | 关键优势 | 关键弱点 |
|---|---|---|---|
| DeepMind (Containment Protocol) | 运行时遏制，硬件强制 | 极低误报率，高检测覆盖率，硬件 E-Stop | 未开源，可能成本高昂 |
| Anthropic (Agent Watchdog) | 训练时对齐，策略监控 | 哲学上稳健，防止恶意意图 | 缺乏运行时硬件隔离，可能无法应对零日漏洞 |
| OpenAI (Safety Monitor) | 基于规则的过滤 | 易于部署，针对已知模式有效 | 反应性，无行为基线或动态权限 |
| Microsoft (Agent Guardrails) | 配置策略 | 与企业平台集成，可定制 | 非自适应，无异常检测模型 |