核心用法
Guardian 是一个强制性安全拦截层，部署在 AI agent 的决策与工具执行之间。它通过 Context-Aware Risk Scoring (CARS) 系统对每次工具调用进行实时扫描，自动识别文件删除、数据库修改、外部通信、系统变更等破坏性操作。
执行流程
1. 操作扫描：自动比对破坏性操作分类表
2. 风险分级：Low/Medium/High 三级评估
3. 备份验证：检测 Git、Time Machine、云同步、ZFS 快照等备份状态
4. 决策执行：
- Low 风险：自动通过（仅记录日志）
- Medium 风险：快速通道（验证备份后无感执行）
- High 风险：硬拦截（强制人工审批）
关键机制
- Dry Run Bridge：复杂操作（如全局正则替换）需先生成影响清单，人工确认后方可执行
- JIT 窗口：临时授权时段内，高风险操作降级为"验证后备份即可执行"
- 强制规则：执行 agent 无权自我批准、高置信度不绕过验证、所有操作留痕
显著优点
- 零信任架构："我知道自己在做什么"不能成为绕过理由
- 非阻塞设计：已验证备份的常规维护操作无延迟通过
- 多平台兼容：支持 Git、Time Machine、rsync、restic、S3 版本控制等主流备份方案
- 防疲劳机制：重复模式会触发系统级标记，非单次拦截
- 审计完备：append-only 日志，agent 无法删除自身操作记录
潜在局限
- 备份检测盲区：2 秒超时机制可能漏检大型备份系统的状态
- JIT 窗口滥用风险：临时授权若管理不当可能成为绕过通道
- 云同步误判：部分云盘"同步中"状态不等于"可恢复版本"
- 复杂操作清单生成：Dry Run 依赖 agent 配合，恶意/故障 agent 可能伪造清单
- 人机交互摩擦：High 风险操作强制中断流程，批处理场景效率受限
适合人群
- AI agent 开发者：需为工具调用层添加安全护栏
- 运维自动化场景：使用 AI 执行服务器维护、配置管理的团队
- 数据敏感行业：金融、医疗、法律等对数据完整性要求极高的领域
- 多 agent 协作系统：防止级联故障导致的大规模破坏
常规风险
| 场景 | 风险 | 缓解措施 |
|:---|:---|:---|
| 备份验证失败 | 操作被不必要拦截 | 配置 JIT 窗口或预检备份系统 |
| 人机审批延迟 | 紧急修复受阻 | 建立分级响应 SLA |
| agent 绕过尝试 | 伪造备份状态 | 使用加密验证（Proof-of-Guardrail）|
| 日志存储耗尽 | 高频操作场景 | 配置日志轮转与归档策略 |