DeepSeek V4 Pro 的智能体安全，关键不只在模型，更在运行框架

如果企业要部署 DeepSeek V4 Pro 智能体，真正需要审核的不是一个孤立的模型名称，而是一套完整的 “模型—运行框架—任务—环境”配置。

DeepSeek V4 Pro 可以通过网页、移动应用、API、OpenAI Responses API 以及 Codex 集成等不同接口接入系统，但这最多说明接口层面具备兼容性，并不能证明不同运行环境中的提示词、工具、权限、记忆、重试机制或外部副作用完全一致。

实际操作中的原则很明确：只有当某一套被锁定、可复现的配置通过了自身的安全评估，企业才应批准这套配置上线。

为什么运行框架会改变智能体的实际风险

智能体不只是底层模型。运行框架决定模型如何接收指令、选择工具、访问数据、处理失败，以及如何影响外部系统。以下环节的差异，都可能改变同一个模型的实际行为：

• 系统提示词与适配器；
• 工具定义及其具体实现；
• 权限范围与人工审批闸门；
• 文件系统根目录与网络访问范围；
• 凭证来源和调用身份；
• 子进程与生成代码的执行方式；
• 重试、超时和并发逻辑；
• 会话状态、摘要、缓存和持久化记忆。

因此，同一个 DeepSeek V4 Pro 后端接入不同运行框架或执行环境后，可能呈现完全不同的风险画像。兼容的 API 规范是集成属性，不是安全认证。

AgentS4D 结果说明了什么

AgentS4D 评估的是完整的运行时配置，而不是孤立的模型回答。该基准包含 328 个注入风险的案例，覆盖 4 个智能体运行框架和 5 个模型后端，共进行 6,560 次沙箱运行。其中 4,461 次被判定为不安全，占 68.0%；4,344 次同时被判定为不安全且完成任务，占 66.22%。13

这项研究最值得注意的结论是：任务成功完成，可能与不安全执行同时发生。

例如，智能体可能生成了用户要求的文件或代码，却在过程中进行了被禁止的修改、错误处理敏感数据、绕过原本设计的控制，或制造了其他不安全的副作用。

不过，这些数字不能被解读为 DeepSeek V4 Pro 在生产环境中的事故率。研究使用的是经过刻意注入风险的案例，并在受控沙箱中进行测试；统计结果还汇总了多种模型与运行框架组合。真实生产环境中的任务构成、安全控制、对抗性内容暴露程度、资产类型以及对“伤害”的定义都可能不同。该基准证明的是：运行时安全必须直接测量，而不是预测所有部署都会出现同样比例的问题。135

先把智能体行动的最大后果降下来

安全设计的目标，不是赌模型永远不会犯错，而是即使模型或工具出现异常，错误也不会轻易升级为高影响事件。

使用专用的最小权限身份

为不同智能体、环境和租户创建相互隔离的身份。不要让智能体继承员工的环境凭证、生产管理员权限或可广泛复用的长期密钥。每个身份都应只拥有完成特定任务所需的资源和操作权限。

限制文件系统和网络访问

• 只挂载专用工作区根目录；
• 让无关路径真正不可访问，而不是仅仅在界面上隐藏；
• 对网络目标、请求方法、端口，以及必要时的出口流量进行白名单控制；
• 分离读取、草稿、预发布写入和生产写入权限；
• 将密钥放入凭证代理或短期令牌系统；
• 不要把长期凭证放入提示词、工作区文件、环境变量或工具输出中。

删除、发布、付款、权限变更、部署和对外通信等高影响操作，应经过执行层的策略检查，或要求明确的人工审批。

检查完整的执行链

攻击面不只存在于第一方工具。子进程、Shell 命令、生成代码、软件包安装、远程工具服务器、插件和技能代码，都可能产生外部副作用。

相同的安全策略必须覆盖这些路径。尤其要防止 Shell 或生成代码绕过文件系统、网络、授权、日志记录和审批控制。

让工具在模型之外强制执行规则

模型生成的工具调用应被视为不可信请求。真正负责执行授权和安全规则的，应是工具服务器，而不是模型本身。

工具接口应尽量收窄，并加入以下约束：

• 限定枚举值和参数长度；
• 规范化路径并要求明确的资源标识符；
• 设置目标地址白名单；
• 限制分页范围和结果大小；
• 在模型之外完成参数校验；
• 在服务端针对具体调用者、租户、目标和操作重新进行授权检查。

应将规划或预览工具与会产生实际效果的工具分开。对于破坏性强、难以撤销的操作：

• 要求先预览，并提供确认或审批令牌；
• 尽可能采用软删除、隔离或可逆流程；
• 要求幂等键，并明确重复请求的处理方式；
• 返回持久化回执，避免重试导致同一副作用重复发生。

原因在于，一个看似合法的 JSON 工具调用，仍可能包含未获授权的目标、危险路径、过大的权限范围，或本应经过人工审核的操作。

在上线前定义状态与记忆规则

状态可能把风险从一个回合、任务、用户或环境带到另一个回合。企业应为消息、上传文件、工作区文件、摘要、工具结果、缓存和持久化记忆制定明确的生命周期规则，并确保规则由运行时强制执行。

至少需要明确以下内容：

• 隔离： 按用户、租户、任务和环境分离状态，不允许隐式跨会话共享；
• 保留： 明确存留时间、加密、访问控制和删除规则；
• 重置： 提供可记录、可验证的方法，在运行之间清除上下文、记忆、工作区状态、凭证和缓存；
• 重试与超时： 设置次数和预算上限；重试必须保持幂等，不能悄然扩大权限；
• 并发： 为共享文件、审批和外部操作定义锁定与冲突处理机制。

状态重置行为本身就是安全边界的一部分。如果旧指令、凭证或工具结果可能在新任务中意外重新出现，那么模型升级或提示词变化就可能改变风险，而仅测试最终回答未必能发现这种变化。

把所有风险载体都当作不可信输入

提示词注入不一定来自用户的直接消息。带有风险的指令可能隐藏在：

• 上传的文档和代码仓库文件；
• 检索到的网页；
• 外部技能和插件；
• 工具服务返回的内容；
• 持久化记忆；
• 摘要和缓存上下文；
• 用户提供的文本。

运行时应将这些内容解析、标记并作为数据引用，不能允许它们改变智能体的权限、策略、工具选择、凭证使用方式或审批要求。这样的隔离应由系统强制执行，而不能只依赖模型自行识别恶意指令。

一份面向具体运行框架的发布清单

在批准部署前，冻结并记录以下配置：

1. 模型与路由： 模型标识符和版本、供应商路由、推理设置或工作强度，以及兼容性适配器。
2. 运行框架行为： 框架版本、系统提示词、会话逻辑、重试与超时规则、子进程策略和记忆实现。
3. 工具与策略： 工具定义及版本、策略版本、审批阈值、授权逻辑和工具服务器的信任边界。
4. 权限： 使用的身份、权限范围、文件系统根目录、网络目标、凭证来源和生产写入路径。
5. 状态语义： 隔离、保留、重置、缓存行为、并发和跨会话边界。
6. 对抗性覆盖： 通过各类风险载体进行提示词注入测试，并覆盖困惑代理人攻击、凭证暴露、路径穿越、SSRF 或出口滥用、恶意工具响应、重试重复执行、记忆投毒和审批绕过。
7. 证据记录： 在稳定的运行 ID 下保存提示词和策略版本、工具调用与结果、审批记录、策略决策、工作区差异、出站请求、使用的身份、最终产物，以及完成结果和安全结果。

务必将 任务完成度 与 安全性 分开评分。正确的最终产物不能抵消不安全的副作用，这正是 AgentS4D 结果带来的核心警示。12

配置一变，测试就要重跑

真正获批的对象应是被锁定的具体配置，而不是“DeepSeek V4 Pro 智能体”这样的永久标签。以下任一环节发生实质变化，都应重新运行配置专属的安全测试套件：

• 模型或供应商路由；
• 推理设置或工作强度；
• 系统提示词或适配器；
• 运行框架或会话逻辑；
• 工具或远程工具服务器；
• 权限与审批策略；
• 凭证路由；
• 记忆、重试、超时或并发行为；
• 网络或文件系统边界。

这样做，可以把运行时安全从对模型质量的笼统假设，转化为与真实执行环境绑定、能够通过测试决定的发布结论。