传统渗透看见闯入，看不见走错门
渗透测试擅长找暴露面、弱口令和接口鉴权漏洞。Agent 的许多事故使用的是已经授权的调用，只是目标被改写。渗透通过，不能直接写成 Agent 的上线依据。
标准化评估 / LLM · RAG · AGENT · MCPCHENGDU, CN / 2026
看见 Agent 真正会做什么。
再决定它能不能上线。
这是面向 LLM、RAG、AI Agent 与 MCP 工具链的标准化企业安全评估。我们在书面授权范围内验证提示注入、密钥与系统提示泄露、RAG 越权、目标劫持、工具误用、身份权限滥用、MCP 风险、记忆投毒、非预期代码执行，以及从 Agent 进入业务系统的攻击路径，并留下可复核的证据。
适用对象
- 企业内部 Copilot 与知识助手
- 智能客服与工单 Agent
- RAG 知识库问答
- 自主规划的 AI Agent
- MCP Server 与工具链
- 代码 Agent / Coding Agent
- 运营与办公 Agent
- 数据分析 Agent
01为什么需要单独评估 Agent
为什么需要单独评估 Agent
Chatbot 主要产生内容。Agent 可以读数据、做决策、调工具、改系统。沿用主机扫描、接口渗透或模型 jailbreak 清单，会漏掉已经握着业务钥匙的那一层。
模型安全覆盖不了工具和业务系统
厂商白皮书和 jailbreak 清单停在模型输出。真正的影响发生在检索、工具、MCP、身份和下游系统。评估必须把路径走到可验证的那一步。
没有证据的口头结论，进不了风险台账
“整体风险较高”加一页截图，管理层无法决策，研发也无法修复。评估结束于可被不同角色使用的材料，而不是一场演示的气氛。
02评估项
评估项
每一项都落到具体系统、具体输入和具体工具，而不是只贴一个术语标签。看不到对象、前提和是否可利用的条目，不计入完成。
Prompt Injection
看用户话术、网页、附件、工单等不可信输入能否改写任务目标或系统指令。不只测一句 jailbreak，而要看到注入之后是否进入检索或工具调用。
System Prompt / 敏感信息泄露
看系统提示、工具描述、密钥、内部策略会不会被诱导、检索或日志带出。提示词里的保密要求本身不算控制。
RAG 数据越权
看知识库检索是否按身份过滤，邻部门、邻租户或更高密级材料会不会被摘要出来。没有权限过滤的“请勿越权”只是文案。
Agent Goal Hijacking
看外部内容能否把当前任务从查询、摘要改成发送、导出、改权限或执行命令。目标被改写后，后续工具调用往往仍显示为“成功”。
Tool Misuse
看工具选择、参数构造和调用顺序会不会被任务外的指令驱动。摘要任务和特权工具放在同一个工具箱时，一句话就可能换掉调用对象。
身份与权限滥用
看 Agent 代表谁行动，凭证落在哪一层，一次工具调用能否追到人、团队和任务。共用开发账号或过宽的服务身份，会把一次注入放大成系统级操作。
MCP Server / Tool 风险
看来源、版本、安装批准和凭证范围；以及服务器被替换、工具表被增加、提示被投毒时，Agent 是否仍以为自己只是在搜索。
上下文与 Memory Poisoning
看写入会话上下文或长期记忆的内容，会不会在后续任务中被当成可信指令。记忆不是笔记本，它会参加下一次决策。
非预期代码执行
看代码 Agent 或带执行工具的 Agent，能否在无人确认时跑命令、改仓库、装依赖。不可逆动作默认需要人审，而不是事后在日志里发现。
Agent 到业务系统的攻击路径
从 Agent 走到工单、邮箱、财务、代码库或客户库的完整路径，而不是停在模型输出。路径要短、可复述，并能指出经过了哪一次检索或哪一次工具调用。
03评估如何开始
评估如何开始
先确认范围和书面授权，再进入受控测试。从范围确认到首次汇报，常见周期是两到四周，取决于系统数量、环境接入和授权深度。我们不承诺“48 小时出报告”这类固定时限。
- 01
范围确认
一次范围通话，明确系统清单、数据敏感度、禁止的不可逆动作、测试环境，以及怎样算评估完成。没有书面授权，不开始测试。
- 02
授权测试
在约定环境中按任务剧本开展验证。KUROSHIO 作为验证引擎执行探索与调用，人决定授权边界、敏感动作和是否继续。
- 03
证据包
把输入摘要、关键上下文、工具请求与返回、策略是否拦截整理成第三人可核对的材料。发现项按对象、前提、影响和是否可利用记录。
- 04
结论汇报
向安全负责人和 AI / 业务负责人说明测了什么、最重要的几件事、建议的上线条件。范围内的已修复项可以用同一条路径复测。
05你们会拿到什么
你们会拿到什么
缺任何一项，这次合作更接近概念验证，还不是可以写入风险台账的评估。产品用来验证路径和保留证据；判断和是否上线，仍由你们做出。
资产与信任边界图
模型、Agent、知识库、MCP、账号和外部输入画在一张图上。未参与搭建的人应能看懂数据从哪进来、从哪出去。
风险清单
每条风险有对象、前提、影响、目前是否可利用。避免把“提示注入”写成一条没有系统名字的抽象词。
攻击路径
用步骤说明：何种输入，经过哪次检索或哪次工具调用，到达何种结果。路径要短，要可复述。
验证证据
输入摘要、关键上下文、工具请求与返回、策略是否拦截。证据应能被第三人核对，而不是只存在演示人员的口述里。
风险等级
技术描述翻译成业务含义：谁的数据、什么操作、停机还是泄露、是否不可逆。
修复建议
按可执行性写：裁工具、加审批、检索过滤、拆分身份。不把“加强提示词”当成唯一措施。
复测结果
对已修复项用同一条路径再走一遍。没复测的修复，只能算计划。
管理层摘要
两页内说清：测了什么、最重要的三件事、建议的上线条件。给需要拍板的人，而不是再写一份技术附录。
06KUROSHIO 如何验证
KUROSHIO 如何验证
KUROSHIO 承担规划、探索、工具调用、验证、证据和报告这一段，作为验证引擎。它不能替代范围确认，也不能替代管理层做上线决定。人始终掌握授权、敏感动作与结论。
- 01规划
- 02探索
- 03工具调用
- 04验证
- 05证据
- 06报告
查看 KUROSHIO 工作台
在交互演示中切换范围、探索、验证和报告四个阶段，了解授权范围、任务编排、关联证据与报告摘要如何组织在同一工作台。内容使用示例数据，展示通用评估流程。
07常见问题
开始之前。
01可以在企业私有环境中开展吗？
可以。私有化部署、专网评估、模型是否出域、日志留在哪一侧，都会在项目启动前写进范围。没有约定的数据，不会带出你们的环境。
02开始之前，你们需要我们提供什么？
书面授权；系统清单（模型、Agent、知识库、MCP、工具、身份）；测试账号或约定的接入方式；不可逆动作的禁止清单；以及安全侧和 AI / 业务侧的对接人。材料可以不完整，但范围必须可执行。
03你们不会做什么？
不做未授权测试，不在未同意的情况下触碰生产上的不可逆动作，不提供针对未授权系统的利用方法。实验室或演示中的路径是方法说明，不会写成客户成交或实际入侵。
04评估结束后，我们能拿到什么？
默认交付资产与信任边界图、风险清单、攻击路径、验证证据、风险等级、修复建议、复测结果和管理层摘要。只有扫描器结果、只有无法回放的现场演示，或只有口头承诺，都不算评估完成。
05这是一次服务，还是必须先采购 KUROSHIO？
第一件事是评估服务。KUROSHIO 在评估中作为验证引擎使用。是否继续产品部署、POC 或私有化，根据范围和评估结论再定，不作为开始评估的前提。
06会不会改动我们的生产系统？
默认在授权的测试或预发环境进行。若必须触及生产，只做事先写明、可回滚、且排除不可逆动作的步骤。没有书面授权的操作不会发生。
从一次范围确认开始。
说明你正在使用的模型、知识库、Agent 或 MCP。我们从授权范围和具体系统开始，而不是从产品介绍开始。