智能体行为安全监控

Agent 为排查连接问题读取凭据文件，内容随对话上下文进入后续模型调用，敏感信息可能在用户无感知时离开原有边界。

识别敏感路径访问；仅在执行成功或返回内容包含凭据特征时触发，未遂访问不制造告警噪音。

敏感数据类型、命中文件、调用结果和脱敏后的证据片段。

单独的敏感读取和网络请求都可能合理，但同一会话中先读取凭据、再调用 Webhook 或上传附件，已经构成典型的数据外泄路径。

在 trace_id 或 gen_ai_conversation_id 维度关联敏感读取与外部请求、消息发送和附件上传，覆盖跨 Trace 的多轮行为。

读取侧与外发侧两个 Span、目标地址、发生顺序和关联风险 ID。

Agent 同时拥有多套环境凭据时，可能在生产命名空间执行资源删除、部署变更、配置修改或数据库写入。

综合环境标签、工具名称、调用参数和命令内容，仅在生产变更实际执行成功且命中高危模式时触发。

目标环境、资源对象、工具参数、执行结果以及关联的审批或发布上下文。

Agent 在修改、测试、失败、重试之间反复循环，缺少调用上限、退避策略和人工介入条件，持续消耗时间与 Token。

按 Trace 与工具名称聚合，检测窗口内同一工具调用不少于 10 次且失败率不低于 70% 时触发。

调用次数、失败率、参数样例、错误类型和持续时间。

工具结果被全量回灌、上下文不断膨胀或调用链反复重试时，单个任务可能产生远高于正常范围的 Token 消耗。

以固定阈值和多信号评分结合单次调用、会话累计、上下文长度、输出长度与工具调用密度，降低对正常重任务的误报。

模型、供应商、输入输出 Token、会话累计、平均消耗和同链路工具调用数。