Guardrails 策略执行

Guardrail 是执行点，不是万能安全层

它保护数据边界、动作边界和状态边界：输入检查恶意或越权内容，输出检查泄露与格式，Tool 检查能力和参数，状态迁移检查业务不变量。内容安全、访问控制、数据最小化、速率/预算和业务规则是不同策略域，不能用一个“安全评分”吞并。

把策略分为确定性规则、分类模型和人工裁决：明确禁止、身份权限和金额阈值优先确定性；语义风险可由模型辅助但设置不确定处理；责任不可自动化的动作转人工。

按数据和动作流布置决策点

用户/外部输入

校验身份、租户、大小、数据类别和已知攻击信号；不要因输入被“净化”就赋予更高信任。

模型输出

结构化解析、敏感数据检测、引用/事实要求和面向用户的内容策略。输出 Guardrail 可与生成并行以降低延迟，但若必须避免任何敏感片段流出，就要在释放 Token 前缓冲或增量阻断。

Tool 执行前

这是副作用前最后门槛：重新授权主体、资源、动作和环境，校验审批、参数、幂等和风险。OpenAI Agents SDK 的 Tool Guardrail 也区分输入/输出并支持拒绝或重写，但实际安全仍取决于执行器是否强制采用结果。

Tool 返回后

防止间接 Prompt Injection、机密字段和超大载荷进入 Context；保留原始受保护 Artifact 与净化摘要之间的关联，便于审计。

状态提交前

即使 Tool 成功，状态提交仍要验证后置条件、当前版本和策略。策略撤销后，晚到结果不得自动推进。

串行与并行 Guardrail 的取舍

便宜、确定、阻断性的认证、Schema、租户和权限先执行；语义分类可并行；昂贵事实核验只在需要时触发。并行 Guardrail 可能在被拒绝前已消耗模型 Token，甚至产生流式片段，因此不适合严格数据外泄边界。

策略结果要可组合

统一返回 allow、deny、transform、require_approval 或 degrade，并携带稳定 reasonCode、policyVersion、obligations、有效期和审计关联。transform 要保留修改前后摘要，allow 也应说明基于哪个身份/资源版本。

type PolicyDecision = {
  effect: 'allow' | 'deny' | 'transform' | 'require_approval' | 'degrade'
  reasonCode: string
  policyVersion: string
  obligations?: string[]
  expiresAt?: string
}

策略引擎作 PDP，API Gateway、Tool Executor 和状态仓储是 PEP。只调用策略 API 但忽略 obligations，等于没有执行策略。

Guardrail 自身失败时的策略

高风险写入、机密数据和权限校验默认 Fail-closed；低风险只读能力可在缓存策略和短有效期内降级。不能全局统一：策略服务故障时全部放行会扩大事故，全部阻断又可能让紧急恢复不可用。

缓存键包含策略、主体、资源、动作和环境版本；撤权事件主动失效。异常返回独立于“拒绝”，否则无法判断用户无权还是控制面故障。提供 Break-glass 时必须短期、最小范围、双人授权和事后复核。

证明策略覆盖而不是只证明函数存在

把敏感资源 × 动作 × 主体 × 环境映射到决策点和执行点，检查是否存在绕过路径。测试允许/拒绝边界、混淆身份、参数编码、Tool 返回注入、策略超时、缓存过期、版本回滚和晚到结果。Shadow 模式只能测影响，不能在高风险策略正式启用前替代 Enforcement。