一次 AI Agent 安全评估如果只留下“整体风险较高”和一页产品截图，管理层无法决策，研发也无法修复。评估应当结束于一套能被不同角色使用的材料，而不是一场演示的气氛。
下面是我们建议作为默认交付包的内容。缺哪一项，就还不能称为评估完成。
01应当拿到的东西
资产与信任边界图。 模型、Agent、知识库、MCP、账号、外部输入画在一张图上。让未参与搭建的人能看懂数据从哪进来、从哪出去。
风险清单。 每条风险有对象、前提、影响、目前是否可利用。避免把“提示注入”写成一条没有系统名字的抽象词。
攻击路径。 用步骤说明：何种输入，经过哪次检索或哪次工具调用，到达何种结果。路径要短，要可复述。
验证证据。 输入摘要、关键上下文、工具请求与返回、策略是否拦截。证据应能被第三人核对，而不是只存在演示人员的口述里。
风险等级与业务含义。 技术描述翻译成：谁的数据、什么操作、停机还是泄露、是否不可逆。
修复建议。 按可执行性写：裁工具、加审批、检索过滤、拆分身份。不把“加强提示词”当成唯一措施。
复测结果。 对已修复项用同一条路径再走一遍。没复测的修复，只能算计划。
管理层摘要。 两页内说清：测了什么、最重要的三件事、建议的上线条件。
02不应当被算作交付
只有模型厂商的安全白皮书。
只有扫描器对底层主机的发现。
只有无法回放的现场演示。
只有口头承诺“生产里会关掉这个工具”。
03产品在其中的位置
KUROSHIO 适合承担规划、探索、工具调用、证据和报告这一段。它不能替代范围确认，也不能替代管理层做上线决定。评估公司卖的是判断和证据，不是把报告工具本身当成结论。
如果供应商不能按上面的清单交货，这次合作更接近概念验证，还不是可以写入风险台账的评估。