安全优先架构

设计即安全

EDDI在设计上消除了整类安全漏洞。没有eval()，没有代码执行块，没有动态代码注入，代理行为仅通过声明式JSON配置定义。

为什么现在很重要

AI代理生态系统正面临前所未有的安全压力。2026年初，主要开源代理框架中的数百个严重漏洞被公开记录，其中包括CVSS 10.0远程代码执行缺陷、沙箱逃逸和授权绕过。绝大多数问题的根本原因在于：平台在运行时执行用户提供或动态生成的代码。

云安全联盟（Cloud Security Alliance）指出存在系统性的“AI代理披露真空”。

EDDI的架构防御

EDDI并没有尝试对代码执行进行沙箱处理，而是彻底消除了攻击面。

安全特性

• 零eval()，无动态代码执行（消除CVSS 10.0 RCE风险）
• OIDC/Keycloak，企业级认证和授权，包含 RBAC 角色（admin、editor、viewer）和专用的审批人角色
• 按用户工作空间，每个配置资源都有所有者、个人或团队空间，并可按使用、查看、编辑或拥有级别显式共享
• Connections，统一的出站调用凭证模型，从组织级密钥和 OAuth2 服务账户，到每个用户自己的 OAuth 账户或调用系统按请求提供的凭证。机密信息始终以 vault 引用形式存储
• 工具结果防护，每个工具结果都带有来源信息，其中类似指令的文本会在模型据此行动之前被标记、脱敏、警告或阻止
• 密钥库集成，API密钥的安全密钥管理
• 路径遍历保护，每个边界的输入验证
• URL验证，防止SSRF和重定向攻击，并拒绝将云元数据端点作为 HTTP 调用、MCP 和 A2A 的目标，包括经由 DNS 解析和重定向的情况
• 加密审计跟踪，不可变、防篡改的操作日志
• 欧盟AI法案就绪，内置治理功能满足监管合规
• 密钥脱敏，自动过滤器从所有审计条目中清除 API 密钥、vault 引用和敏感数据
• PII 安全日志，GDPR 操作记录 SHA-256 假名，从不记录原始用户标识符
• Sigstore Cosign，无密钥 OIDC 容器镜像签名，加密验证每个 Docker 镜像由官方 CI 构建
• 加固基础镜像，按摘要固定的 Red Hat UBI 10 运行时，发布于 Red Hat 认证目录
• 机密上下文值，调用方可以向代理提供仅在一个回合内可用的凭据，该凭据从不存储，也从不返回
• 受限运行时模板，由运行时数据构建的模板在受限引擎上渲染，无法访问配置或bean，且每次渲染都有限制；用户输入始终作为数据代入，从不作为模板解析

自动化安全流水线

每次变更都要经过自动化安全工具的检查，所有 GitHub Action 均通过 SHA 固定以防止供应链攻击：

• CodeQL，使用 security-extended 查询进行语义 SAST 分析
• Trivy，文件系统依赖和 Docker 镜像的 CVE 扫描（CRITICAL/HIGH 级别阻断）
• Gitleaks，Git 历史扫描以防止密钥和凭证泄露
• Dependency Review，含有已知漏洞的新依赖会在引入它们的 pull request 上被标记
• CycloneDX，SBOM 生成以实现供应链透明
• ClusterFuzzLite 与 Jazzer，覆盖率引导的模糊测试，用于安全关键解析器
• OpenSSF Scorecard，持续评估仓库的供应链安全实践

为什么规则应置于模型之外

对于带工具的代理，提示注入是最关键的攻击。在一项针对使用工具的代理的基准测试中，在没有任何防御时，隐藏在工单和日志中的指令让代理在82.5%的情况下执行了不安全的操作。提示层面的防御仍有10%至26%的不安全率；只有在工具调用处强制执行的策略关卡将其降到零，同时仍允许经批准的变更通过。因此，EDDI在引擎中、在工具边界上执行规则，注入的文本无法靠说辞绕过它们。证据页面列出了相关研究。

安全加固日志

安全工作持续进行，我们会公开所发现的问题。最近几轮：

• 2026年9月（6.5.0），一轮约30项修复的审查，涵盖模板注入、出站调用的SSRF、密钥库密钥处理、密钥作用域、工作空间授权、渠道身份以及EDDI管理器的安全界面，每项修复都附带回归测试
• 2026年8月（6.3.0, 6.4.0），出站凭据统一由 Connections 管理，工具结果携带来源信息，指令形式的文本会被脱敏，并强制执行向代理授予的密钥库权限
• 2026年7月（6.2.0），工具结果缓存按身份隔离，实时工具追踪中的机密信息被脱敏，审计HMAC比较改为恒定时间比较

治理与合规集成

安全功能直接融入EDDI的合规框架。不可变审计追踪支持《欧盟AI法案》的记录保存要求（第12条），管道追踪提供AI决策透明度（第13条），管理界面通过紧急停止功能实现人工监督（第14条）。同一基础设施支持GDPR、HIPAA、SOC 2以及15+个其他监管框架，全部通过一个统一的API实现。