agent-governance-toolkit
微软开源的 AI Agent 运行时治理框架，覆盖 OWASP Agentic Top 10 全部
加载项目详情…
本应用为开源项目，仅供学习研究，请遵守其开源协议。
微信扫码咨询客服
POMOAI — 让开源 AI 即刻运行
微软开源的 AI Agent 运行时治理框架，覆盖 OWASP Agentic Top 10 全部
加载项目详情…
本应用为开源项目，仅供学习研究，请遵守其开源协议。
图1：Agent Governance Toolkit 官方 banner
想象一下：你部署了一个 AI 助手帮你在公司系统里查数据、发送邮件、调用各种工具。某天它突然把整个客户数据库删了——不是因为被黑客攻击，而是因为某次对话里混进了一句恶意的「提示词注入」，AI 在「帮忙」执行一条从未授权的操作。
这不只存在于想象中。2025 年 12 月，OWASP 发布首个「Agentic AI Top 10」风险清单，目标劫持（Goal Hijacking）、工具滥用（Tool Misuse）、身份滥用（Identity Abuse）等风险赫然在列。同月，欧盟 AI 法案（EU AI Act）针对高风险 AI 系统的合规义务进入 18 个月倒计时，2026 年 8 月将强制执行。
正是在这个时间节点，微软于 2026 年 4 月正式开源了 Agent Governance Toolkit（AGT）—— 一套面向自主 AI Agent 的运行时安全治理框架，宣称覆盖全部 10 项 OWASP Agentic Top 10 风险，提供亚毫秒级的确定性策略执行，并在 GitHub 上迅速积累超过 3500 颗星。
Agent Governance Toolkit 并非诞生于学术论文，而是来自微软内部工程团队的真实需求。由微软 Principal Group Engineering Manager Imran Siddique 牵头的这个项目，最初是为 Azure AI Foundry Agent Service 等微软自研产品构建安全保障的内部工具包，后来决定以 MIT 许可证开源。
核心设计哲学是**「共生而非替代」**：AGT 不打算取代 LangChain、AutoGen、CrewAI 等主流 Agent 开发框架，而是在它们各自的扩展点上做接入——LangChain 的回调处理器（Callback Handlers）、CrewAI 的任务装饰器（Task Decorators）、Google ADK 的插件系统、微软自研框架的中间件管道，都被设计为 AGT 的接入层。这意味着团队引入治理能力时，无需重写现有 Agent 代码。
值得关注的是，微软在发布博客中明确表示：有意将这个项目移交给独立的基金会来运营，并正在与 OWASP 社区及基金会领袖接洽推进这件事。如果成真，AGT 将成为 AI Agent 治理领域的首个厂商中立的公共基础设施。
AGT 的架构设计借鉴了三种成熟系统的思想，这也是它与市面上大多数「AI 安全工具」的根本区别——它不是简单的敏感词过滤或访问控制列表，而是一套体系化的运行时治理操作系统。
Agent OS：AI Agent 的「内核」
这是整套系统的核心：一个无状态策略引擎（Stateless Policy Engine），以拦截器模式在每个 Agent 操作执行前进行策略判断。官方披露的 P99 延迟低于 0.1 毫秒，这意味着在实际生产环境中，策略检查对 Agent 响应时间的影响几乎不可感知。支持的策略语言有三种：YAML 规则（最简单）、OPA Rego（最强大）、Cedar（亚马逊云服务兼容），给了不同技术背景团队灵活的选择空间。
Agent Mesh：加密身份 + Agent 间信任协议
在这个模块中，每个 Agent 拥有基于去中心化标识符（DID）的加密身份，使用 Ed25519 签名算法。Agent 之间通过「Inter-Agent Trust Protocol（IATP）」进行通信，其中包含一套动态信任评分机制——在 0 到 1000 的范围内分五个行为等级来评估每个 Agent 的可信程度。这解决了企业多 Agent 系统中的一个核心难题：当五个 Agent 共用一个 API Key 时，如何知道「是谁」干的。
Agent Runtime：隔离执行与紧急终止
受操作系统 CPU 特权级别启发，AGT 在 Agent Runtime 中实现了动态执行环（Execution Rings）机制，高权限操作只能在更高环级别执行。同时内置「Saga 编排器」处理跨多步骤的长事务，以及紧急情况下的一键 Kill Switch——这对应 OWASP Top 10 中的「流氓 Agent」（Rogue Agents）风险。
Agent Compliance：合规自动化
这是直接面向监管需求的模块。AGT 内置了对 EU AI Act、HIPAA、SOC 2 三套主流监管框架的合规映射，并针对 OWASP Agentic AI Top 10 的全部 10 个风险类别提供证据收集（Evidence Collection）。对于需要接受审计的企业，这意味着合规报告可以从工具里直接导出，而不需要安全团队手动整理日志。
Agent Lightning：RL 训练的安全护栏
这个模块专门针对强化学习（RL）训练流程，通过策略强制执行的 Runner 和 Reward Shaping 机制，确保 RL 训练过程中 Agent 的奖励信号不会触发任何违反策略的行为。对正在构建 Agent 自演进能力的研究团队，这是一个实用的保障机制。
AGT 以「七包系统」为组织形式，分布在两个主要代码仓库中：
Python 包（pip 可安装）：
agent-governance-toolkit-core：核心引擎agent-governance-toolkit-cli：命令行工具agent-governance-toolkit-integrations：框架集成适配器agent-governance-toolkit-protocols：通信协议定义agent-hypervisor：执行隔离模块agent-os：策略引擎独立包agent-mesh：身份与信任模块agent-compliance：合规自动化agent-lightning：RL 训练治理agent-mcp-governance：MCP（Model Context Protocol）安全网关agent-primitives：基础数据结构和工具类TypeScript 包（npm 安装）：
@microsoft/agent-governance-sdk（v4.0.0）：微软官方维护的 TypeScript SDK其他语言：.NET（NuGet）、Rust（crates.io）、Go（pkg.go.dev）各有独立包。
开发语言以 Python 为主（这是 Agent 开发的主流语言），TypeScript SDK 服务于 Node.js 环境下的 Agent 项目。底层加密签名依赖 @noble/curves（Ed25519）等成熟密码学库，而非自行实现。
代码质量方面，GitHub 页面显示整个项目有超过 9500 个测试用例，CI 流程包含 ClusterFuzzLite 持续模糊测试、CodeQL 静态分析、Dependabot 依赖漏洞扫描，SLSA 兼容的构建溯源，且在 OpenSSF Scorecard 上有公开评分——这是目前开源项目安全质量公开评估的最高标准之一。
对于想快速上手的开发者，AGT 提供了开箱即用的 Docker 环境。项目根目录有完整的多阶段 Dockerfile（基于 Python 3.11-slim + Node.js 22），以及 docker-compose.yml 定义了三个服务：
docker-compose --profile dashboard up）：通过 Streamlit 启动可视化 Web 界面，端口 8501，用于查看 Agent 行为审计日志和信任评分硬件需求方面，AGT 本身是纯 CPU 运行时，不需要 GPU。容器镜像构建时会安装 OPA（Open Policy Agent）CLI，但这些都是轻量级依赖。生产部署时一个 1GB 内存的容器实例即可正常运行。
对于有 Python 环境的开发者，pip install agent-governance-toolkit[full] 即可完成安装，官方文档提供了 Quick Start 指南。对于已有 LangChain 或 CrewAI 项目的团队，集成 AGT 只需要在框架的回调/装饰器层面接入，不需要改动核心业务逻辑。
不过需要注意的是，AGT 当前的版本标识为「Public Preview」，官方文档中有专门的 Breaking Changes 变更记录页面，表明在正式 GA（Generally Available）之前，可能存在破坏性变更。对于将稳定性放在首位的生产系统，建议在非核心业务路径上先行试点验证。
行业对 AGT 的反应并非一边倒的赞誉。技术评论社区中，一些观点指出：
覆盖度夸大风险：虽然微软宣称覆盖 OWASP Agentic Top 10 的全部 10 个风险类别，但「覆盖」本身定义模糊——是提供了缓解措施就算覆盖，还是需要在真实对抗环境下通过测试才算？OWASP 本身也在今年才刚发布 Agentic Top 10，这个清单本身还在随着 AI Agent 能力进化而更新。
无状态引擎的局限性：Agent OS 采用无状态设计，这意味着它只能基于规则做即时判断，无法感知跨会话的上下文积累——比如一个 Agent 是否在过去一周内行为模式发生了微妙的变化。这是无状态安全的固有限制，也是微软未来可能需要引入有状态审计层的原因。
供应商锁定隐忧：虽然 AGT 本身是开源的，但它与 Azure AI Foundry Agent Service、Azure Kubernetes Service 的深度集成，对已经在微软云生态内的团队是加分项，但对使用 AWS/GCP 的团队来说，这些集成价值有限。
Agent Governance Toolkit 的出现，本质上标志着 AI Agent 安全从「应用层附加功能」升级为「基础设施级需求」。
过去两年，业界讨论 Agent 安全主要聚焦于提示词工程（Prompt Engineering）和输入过滤。但随着 Agent 开始在生产环境中执行真实操作——发邮件、删数据、调用支付接口——仅靠应用层防护已经不够。OWASP Agentic Top 10 的发布、EU AI Act 的监管倒计时，都在这个时间节点汇聚，推动 Agent 治理从「可选」变成「必须」。
微软 AGT 的核心价值，不在于它是最好的解决方案（目前来看还谈不上），而在于它把 Agent 治理这件事做成了一个可集成的标准化组件——框架无关、语言无关、云无关。当治理能力可以像日志库一样被引入，AI Agent 的生产级部署门槛才会真正降低。
未来随着 OWASP Agentic Top 10 的持续演进、企业合规要求的逐步落地，这类治理工具链的重要性只会增加。AGT 能否如微软所愿走向基金会化、成为真正的公共基础设施，值得持续关注。