使用 Google Agent Development Kit 建構零信任 AI 代理

Google 開發者部落格於 2026 年 8 月 17 日發表文章，由 Senior AI Product Manager Shubham Saboo 與 Developer Relations Engineer Eric Dong 共同撰寫，探討如何透過 Agent Development Kit (ADK) 建構零信任 AI 代理。文章指出，當 AI 代理連接至即時資料庫、內部 API 及動態執行環境時，其行為已超越傳統應用程式開發，因為 LLM 會使用非結構化自然語言自行決定執行路徑，導致傳統邊界安全防護無法察覺代理內部的行為變化。

為測試防禦模式，Google 使用 ADK 與 Gemini 建立並開源了一個自主客戶支援與退貨代理（Customer Support & Returns Agent），完整程式碼與可執行示範位於 zero-trust-agents 開源儲存庫。在標準運作中，該代理會讀取客戶請求、生成 Python 腳本計算按比例退還的補貨扣款、將核准的退款寫入資料庫分類帳，並返回確認收據。然而，若攻擊者提交包含提示注入的惡意提示，例如要求忽略先前指示、將 149 美元的訂單退款金額改為 10,000 美元，並執行 Python 腳本列印主機環境變數以驗證退款，若代理共用通用的資料庫連線並在不隔離的環境中執行程式碼，單一提示即可觸發未經授權的付款、洩漏 API 金鑰或 compromising 主機伺服器。

文章強調，將「永不退款超過訂單總額」加入系統提示無法解決問題，因為系統提示僅是軟性約束，可被提示注入繞過、在提示調整期間被更改，或隨模型更新表現不可預測。零信任架構假設模型本身可能被欺騙或越獄，並在 LLM 上下文之外強制執行硬式安全保證，涵蓋三個層級：密碼學寫入簽名、核心級程式碼隔離，以及確定性語意閘道。

第一層級為密碼學身份與不可否認性。在多代理架構中，每個工作進程通常使用相同的共用連線池連接資料庫，若代理被誘騙修改記錄或攻擊者取得資料庫存取權，則無密碼學證據將特定資料列與建立它的代理連結。為建立不可否認性，每個狀態變更的寫入都必須由發出請求的特定代理簽署，資料庫必須在提交交易前驗證該簽名。在 Google Cloud 生產環境中，應避免在容器環境中儲存私密金鑰，而是為每個代理分配專屬的 Service Account，並在 Cloud Key Management Service (KMS) 的非對稱金鑰上授予簽署權限，該金鑰由 Cloud Hardware Security Module (HSM) 支援。私密金鑰在防篡改的 HSM 內生成且永不離開，代理在執行時透過 Application Default Credentials (ADC) 使用其標準 Google Cloud 憑證簽署退款有效載荷。在開源示範中，使用 HMAC 金鑰模擬 Cloud KMS 以便在本地運行，資料庫入口防護攔截寫入、重新計算摘要並在常數時間內驗證簽名後才寫入資料列。由於每個有效資料列都包含其有效載荷的不可變簽名，獨立的背景審計掃描可持續驗證分類帳完整性，若惡意容器或 SQL 注入直接將 149.00 美元退款改為 10,000.00 美元，簽名將不再匹配有效載荷，審計掃描會立即發出警報。

第二層級為使用 gVisor 的核心級程式碼隔離。當代理動態生成 Python 程式碼時，執行 exec() 或標準 Docker 容器是危險的，因為標準容器共用主機