冻结受监测部署
- 核心问题
- 每项观察能否绑定到一个准确的行动系统、授权边界与发布决定？
- 应保留证据
- 系统与依赖摘要、工具契约、权限、环境、运行群组、决策记录与到期时间。
- 停止条件
- 若版本无法重建或拆分，不得合并结果。
核心原则
部署批准不是永久结论，而是有版本、有范围、有期限的运行假设。
上线前评估说明一个冻结系统在已测试条件下表现如何；运行期证据必须回答真实用户、真实任务、依赖变化和外部行动是否仍处于原决定边界内。
适用边界本页是公共监测与变更控制方法，不是持续监控产品、安全认证、审计意见、法律或合规结论，也不能代替特定行业的事件报告、隐私、网络安全或产品安全义务。
先冻结四部分运行身份
无法绑定版本的遥测，无法支撑版本化决定。
- 01行动系统
Agent、模型、提示、编排、工具模式与配置摘要。 - 02授权边界
允许行动、凭证、预算、批准节点、排除项与撤销路径。 - 03运行语境
用户、工作流、数据类别、地区、语言、环境与依赖版本。 - 04决策依据
评估记录、已接受局限、发布负责人、状态与到期时间。
最低运行信号集
不要只监测可用率；要监测决定可能为何失效。
信号必须按任务类别、用户群组、语言、环境和版本切片。总平均值不得掩盖关键失败、越权或小群体退化。
| 信号族 | 最低观察内容 |
|---|---|
| 任务结果 | 按任务类别记录成功、部分完成、静默失败与关键失败率。 |
| 行动路径 | 工具调用、被拒行动、重试、批准请求、状态变化与外部后果。 |
| 人工控制 | 人工介入、覆盖、升级、中止、接管时间与操作者负荷。 |
| 边界压力 | 范围外请求、策略冲突、权限扩张与新工作流。 |
| 质量漂移 | 相对冻结基线，观察任务组合、用户、语言与环境中的变化。 |
| 运行负载 | 时延、成本、排队、工具错误、依赖健康与资源饱和。 |
| 安全与滥用 | 提示注入信号、凭证误用、异常访问与不安全工具序列。 |
| 变更溯源 | 谁在何时因何更改了什么，以及复核证据、放量群组与回滚点。 |
八道运行门
每一道门都连接问题、证据与停止条件。
声明信号、基线与阈值
- 核心问题
- 哪些可观察变化会改变部署决定，采用多长观察窗口？
- 应保留证据
- 指标定义、分母、切片、置信或不确定性、告警窗口与决策阈值。
- 停止条件
- 若只是收集方便取得的遥测，却没有关联决定与负责人，应阻断。
保留结果与行动证据
- 核心问题
- 复核者能否在不过度保留敏感数据的前提下，重建 Agent 看到了什么、如何决定、尝试与改变了什么？
- 应保留证据
- 经隐私最小化的轨迹、工具请求与响应、批准、外部后果、任务结果、时钟与完整性元数据。
- 停止条件
- 若关键行动不可追溯、时间戳不可比较，或证据保留超出声明目的，应停止。
检测漂移与越界
- 核心问题
- 系统、任务分布或环境是否已超出评估所支持的范围？
- 应保留证据
- 按任务类别和群组的基线比较、新用途清单、排除用途命中、失败聚类与剩余未知。
- 停止条件
- 出现关键失败、授权突破或未受支持用途时，应暂停受影响切片。
控制每项重大变更
- 核心问题
- 模型、提示、工具、权限、记忆、策略或依赖变化触达用户前，需要哪些证据？
- 应保留证据
- 变更类别、理由、差异、负责人、定向回归集、批准、灰度群组与回滚产物。
- 停止条件
- 不得发布未分类变更，也不得把提供方更新静默带入有边界的发布。
控制并调查事件
- 核心问题
- 团队能否迅速限制权限、保全证据，并区分模型、工具、数据、操作者与环境原因？
- 应保留证据
- 发现来源、严重度、影响范围、控制行动、证据保管、假设、决定与沟通。
- 停止条件
- 当危害可能继续、证据正在被覆盖或责任不清时，应撤销或暂停权限。
恢复、验证并审慎重开
- 核心问题
- 回滚或修复是否恢复了既定边界，并且失败是否经过测试，而非只用叙述带过？
- 应保留证据
- 已知良好版本、恢复检查、定向复现、回归结果、分阶段重开与剩余风险接受记录。
- 停止条件
- 不得仅凭补丁重开；必须在受影响条件下取得观察证据。
让决定到期并重新评估
- 核心问题
- 哪些时间经过、证据累积或语境变化会使当前运行决定失效？
- 应保留证据
- 到期时间、复核节奏、重跑触发、未解决偏差、趋势摘要、决策负责人及替代记录。
- 停止条件
- 已到期或无人负责的决定应视为失效，而非继续批准。
变更分类
变更所需证据取决于它改变了什么边界。
| 类别 | 最低控制 |
|---|---|
| 常规 | 不改变权限或任务边界；执行定向回归并保留差异。 |
| 重大 | 改变模型行为、工具、记忆、提示、数据、策略或依赖；重跑受影响关卡并灰度。 |
| 边界改变 | 扩展用户、任务、地区、语言、权限或后果；必须形成新的部署决定。 |
| 紧急 | 在持续风险下执行控制或安全修复；先收窄范围，再记录、验证并限制例外期限。 |
运行状态
状态描述当前证据，不粉饰不确定性。
边界内运行
证据仍处于声明阈值、范围与有效期内。
收窄运行
在补充证据期间，收窄明确的切片、工具或权限。
暂停运行
控制、调查或回归期间，停止受影响行动。
决定失效
运行决定已到期，或其证据不再覆盖当前系统与语境。
FUURAA 分析AI Agent 上线后的核心风险，不只是模型效果下降，而是行动系统悄悄变成了另一套系统：提供方更新模型，工具改变返回模式，权限扩大，任务组合迁移，操作者形成新的依赖。高质量监测必须把这些变化与原评估和部署决定连接起来；否则会积累大量遥测，却无法回答是否应继续运行。
最低运行期记录
十四个字段，把信号变成可问责决定。
- 01部署身份
填写可检查的标识、定义、值、证据路径、时间或责任人。
- 02决定与到期
填写可检查的标识、定义、值、证据路径、时间或责任人。
- 03授权边界
填写可检查的标识、定义、值、证据路径、时间或责任人。
- 04群组与任务组合
填写可检查的标识、定义、值、证据路径、时间或责任人。
- 05信号定义
填写可检查的标识、定义、值、证据路径、时间或责任人。
- 06基线与阈值
填写可检查的标识、定义、值、证据路径、时间或责任人。
- 07观察窗口
填写可检查的标识、定义、值、证据路径、时间或责任人。
- 08结果与行动证据
填写可检查的标识、定义、值、证据路径、时间或责任人。
- 09变更历史
填写可检查的标识、定义、值、证据路径、时间或责任人。
- 10偏差与事件
填写可检查的标识、定义、值、证据路径、时间或责任人。
- 11控制或回滚
填写可检查的标识、定义、值、证据路径、时间或责任人。
- 12人工介入
填写可检查的标识、定义、值、证据路径、时间或责任人。
- 13剩余未知
填写可检查的标识、定义、值、证据路径、时间或责任人。
- 14负责人及下次复核
填写可检查的标识、定义、值、证据路径、时间或责任人。
一手来源与证据边界
把框架用于设计控制，不把引用冒充运行证明。
来源于 2026 年 8 月 4 日核对。每项资料均保留发布日期、方法作用与不可外推范围。
Published 26 January 2023NIST · AI RMF 1.0
为自愿采用的 AI 风险管理提供贯穿生命周期的 Govern、Map、Measure 与 Manage 结果。
边界其不限定具体用途且属自愿框架；不提供 Agent 专用阈值，也不认证部署。
打开一手来源 ↗Published 26 July 2024 · source page updated 8 April 2026NIST · AI 600-1 Generative AI Profile补充生成式 AI 风险行动，包括监测、事件披露、内容溯源与第三方因素。
边界这是跨行业轮廓，并非适用于每种 Agent、工具或受监管用途的完整控制集。
打开一手来源 ↗Companion to AI RMF 1.0 · current page checked 4 August 2026NIST · AI RMF Playbook提供把框架落地的建议行动与文档实践。
边界NIST 明确这些建议不是通用检查清单；团队必须按语境选择行动。
打开一手来源 ↗Final 3 April 2025NIST · SP 800-61 Rev. 3把准备、检测、响应与恢复纳入一体化网络安全风险管理。
边界该文档广泛面向网络安全事件；本页只是把相关实践适配到 AI Agent 运行证据，并不把两者等同。
打开一手来源 ↗Published 27 November 2023UK NCSC · Secure operation and maintenance为行为与输入监测、安全更新及经验共享提供运行期指导。
边界这是高层安全开发指南；不验证任何具体监测栈或 Agent 版本。
打开一手来源 ↗连接证据链