用 Google 的 Agent Development Kit 构建零信任 AI 智能体

核心亮点

Google 在官方开发者博客开源了一个零信任客服与退货智能体示例，基于 Agent Development Kit（ADK）和 Gemini 打造，重点演示智能体在调用工具、读写数据库时如何挡住提示注入这类攻击。这个示例把企业最担心的「智能体被一句话拐去乱改数据」变成了可演示、可复用的工程范本，而不只是论文里的原则。

具体能力或事件经过

这个项目不是把安全写进系统提示词，而是把三层硬性防线放在模型上下文之外。第一层是硬件支持的加密签名，任何数据库写入都带不可伪造的签名，事后无法抵赖、可全程审计。第二层用 gVisor 沙箱隔离智能体动态生成的代码，一旦越权就被拦在容器里，碰不到宿主。第三层是确定性语义网关，专门校验「这笔退款合不合规」这类业务规则，只有放行才落库。三层之间互不依赖，任何一层被绕过都不影响其余。

技术细节

关键认知在于：系统提示词只是软约束。无论你怎么叮嘱模型「不许改数据库」，攻击者都能用一句注入绕过，因为提示词对模型来说只是建议。真正的安全边界必须由模型之外的确定性机制来守，模型只负责理解与生成文本，不负责拍板，授权决策交给外部代码。

与竞品对比

很多开源智能体示例把权限直接交给模型自己判断，Google 这套的差别在于把「能否执行」和「模型想不想执行」彻底解耦，权限校验不依赖模型自觉，即便模型被攻陷，危险操作依旧被拦下。

行业影响或适用场景

对企业来说，这意味着可以把智能体放心接进订单、退款等敏感流程，而不必担心一句话就被拐去乱改数据，为生产级部署提供了可借鉴的范本，也降低了合规审计的门槛。