1、引言

随着自主人工智能智能体（Agentic AI）的快速发展，传统的安全威胁建模方法已难以应对这类系统带来的独特挑战。从简单的提示词注入到复杂的多代理协作攻击，Agent AI的攻击面正在以前所未有的速度扩张。本文系统梳理了当前主流的Agent AI威胁建模框架与工具，深入分析各自的核心理念、优势局限及适用场景，旨在为安全从业者、AI开发者和风险管理者提供一份全面的决策参考。

2、威胁建模的核心挑战

Agent AI系统与传统AI应用的本质区别在于其自主性和工具调用能力。一个典型的Agent系统不仅包含基础模型，还涉及：

• 多步规划与推理：智能体能够分解复杂任务并自主决策

• 外部工具调用：访问数据库、执行代码、调用API

• 长期记忆机制：跨会话保持上下文和"记忆"

• 多代理协作：智能体之间通过特定协议通信

这些特性使得传统威胁建模方法（如仅关注API安全的OWASP LLM Top 10）显得力不从心。攻击可以从最底层的模型（如对抗性输入）发起，逐层传播，最终在工具调用层造成实际危害。因此，需要系统性的、针对Agent特性的威胁建模框架。

3、主流框架与工具全景解析

3.1、MAESTRO：Agentic AI的系统性架构蓝图

核心理念：MAESTRO（多智能体环境、安全、威胁、风险和结果）由云安全联盟（CSA）推出，是一个七层参考架构，旨在从系统层面全面覆盖Agent AI的安全风险。

七层架构详解：

层级	名称	核心内容	典型威胁
第1层	基础模型	AI模型核心能力	对抗性示例、提示词注入、模型窃取
第2层	数据操作	数据处理与存储管道	数据投毒、向量存储污染、数据泄露
第3层	代理框架	工具编排与规划逻辑	工具滥用、权限提升、供应链攻击
第4层	部署与基础设施	运行环境	容器逃逸、编排攻击、资源劫持
第5层	评估与可观测性	监控与异常检测	逃避检测、指标操纵、数据泄露
第6层	安全与合规性	贯穿各层的安全控制	安全代理被投毒、合规违规
第7层	代理生态系统	多代理交互环境	受损代理、代理模仿、跨代理攻击

优势：

• 系统性思维：揭示了攻击如何从底层传播到顶层的完整攻击链

• 专为Agent设计：专门处理自主代理带来的新风险（工具调用、长期记忆等）

• 可操作性强：为每个层级提供清晰的威胁建模检查清单

局限性：

• 复杂度高：七层架构需要跨团队协作，实施门槛较高

• 缺乏自动化：主要依赖人工分析，难以集成到CI/CD流水线

适用场景：

• 正在开发复杂Agent系统的组织

• 需要对Agent应用进行全面、系统性安全评估的团队

• 高度监管行业（金融、医疗）的风险管理

3.2、AWS安全范围矩阵：基于控制力的战略规划

核心理念：AWS提出的生成式AI安全范围矩阵是一种思维模型，根据组织对AI模型的控制程度划分五个范围，明确安全责任边界。

五个范围与安全重点：

范围	场景描述	安全重点	控制程度
范围1	消费级应用（公开ChatGPT）	DLP策略，防止数据泄露	最低
范围2	企业级SaaS应用（Microsoft 365 Copilot）	供应商风险评估	低
范围3	API调用预训练模型	API安全、输入输出验证	中
范围4	微调模型	训练数据保护、模型鲁棒性	高
范围5	自训练模型	端到端模型治理	最高

优势：

• 直观易懂：为CISO和业务决策者提供清晰的沟通框架

• 责任共担清晰：明确云服务商与客户的安全边界

• 行动导向：直接链接到五大核心安全领域（治理、隐私、风险管理等）

局限性：

• 过于宏观：缺乏具体的技术实现细节

• 不针对Agent：主要面向通用GenAI，未深入处理Agent特有风险

适用场景：

• 企业规划GenAI项目初期的安全策略制定

• CISO向管理层解释不同用例的风险差异

• 作为安全治理的起点框架

3.3、ASTRIDE：自动化威胁建模平台

核心理念：ASTRIDE在经典STRIDE模型基础上扩展，新增"A"（AI Agent-Specific Attacks）威胁类别，通过分析架构图自动识别威胁。

技术架构：

• 输入：系统架构图（数据流图）

• 处理：结合视觉语言模型（VLM）识别组件，使用推理LLM分析威胁

• 输出：自动生成的威胁列表和安全建议

优势：

• 高度自动化：能从设计图纸直接生成威胁列表

• 扩展性强：首个将STRIDE与AI特定威胁结合的框架

• 左移安全：在设计阶段即可进行威胁建模

局限性：

• 依赖架构图质量：输入不准确会影响分析结果

• 新兴技术：实际应用案例较少，成熟度有待验证

适用场景：

• 希望将威胁建模左移到设计阶段的DevSecOps团队

• 需要大规模、自动化安全分析的复杂项目

3.4、NVIDIA安全评估框架：动态对抗测试

核心理念：通过在工作流中部署多角色AI智能体（攻击者、防御者），进行持续对抗测试，捕捉传统方法遗漏的动态风险。

核心组件：

• 攻击智能体：模拟真实攻击者行为

• 防御智能体：实时监测和响应

• 评估环境：隔离的测试沙箱

• 攻击轨迹库：开源的上万条攻击轨迹数据集

优势：

• 动态深度测试：能发现组件交互产生的连锁风险

• 实战化：基于真实攻击模式设计

• 持续监控：支持运行时安全评估

局限性：

• 资源消耗大：需要部署完整的对抗测试环境

• 复杂度高：多智能体协调难度大

适用场景：

• 高风险、高自主性系统（金融交易、代码生成智能体）

• 需要进行深度红队测试的安全团队

• 需要运行时持续监控的生产系统

3.5、CBRA（能力基风险评估）：风险量化与治理

核心理念：通过评估系统的关键性、自主性、权限、影响半径四个维度，计算综合风险分数，并与CSA的AI控制矩阵直接挂钩。

评估维度：

• 关键性：系统对业务的重要性

• 自主性：智能体的决策自由度

• 权限：系统拥有的访问权限级别

• 影响半径：潜在危害的扩散范围

风险分数 = f(关键性, 自主性, 权限, 影响半径)

优势：

• 量化结果：将模糊风险转化为可沟通的数值

• 与治理体系衔接：直接映射到240+控制项和欧盟AI法案

• 资源分配依据：帮助按风险等级分配安全投入

局限性：

• 主观评估：四个维度的评分可能存在主观偏差

• 静态评估：难以反映运行时风险变化

适用场景：

• CISO和风险管理者的宏观风险治理

• 合规团队需要证明符合监管要求

• 跨项目风险优先级排序

3.6、OWASP AIVSS：漏洞评分系统

核心理念：在传统CVSS基础上，引入10个智能体核心风险和10个风险放大因子，对AI系统漏洞进行0-10分的标准化评分。

创新点：

• 核心风险因素（10个）：提示词注入、工具滥用、训练数据投毒等

• 放大因子（10个）：执行自主性、传播能力、权限级别等

优势：

• 标准化沟通：用管理层和董事会都能理解的数值表达风险

• 与AIUC-1控制标准联动：发现风险后可快速找到缓解措施

• 精细化评估：专门针对智能体特性设计

局限性：

• 评分复杂度：需要专业知识准确评估各项因子

• 标准化仍在演进：作为新兴标准，行业共识有待形成

适用场景：

• 需要对多个智能体系统进行风险量化比较

• 向非技术利益相关者汇报安全状况

• 作为漏洞管理的补充工具

3.7、OWASP Threat Dragon扩展：开源工具增强

核心理念：在成熟的开源威胁建模工具OWASP Threat Dragon中增加对LLM智能体组件的支持，允许手动设定27种新属性，并能基于38条规则自动识别威胁。

扩展功能：

• 新增组件类型：LLM、智能体、工具、记忆存储等

• 27种属性配置：如自主性级别、工具权限等

• 38条自动检测规则：覆盖常见Agent威胁

优势：

• 低成本上手：基于成熟开源工具，学习曲线平缓

• 灵活扩展：规则语法简单，团队可自定义新型威胁

• 社区支持：受益于OWASP社区生态

局限性：

• 功能有限：相比专业框架，自动化程度较低

• 依赖人工配置：需要手动设置组件属性

适用场景：

• 已经使用OWASP Threat Dragon的团队

• 中小团队希望低成本扩展安全能力

• 需要灵活定制威胁规则的项目

3.8、Agent Wiz：开发者友好的CLI工具

核心理念：通过静态代码解析，自动从主流框架（AutoGen、LangGraph、CrewAI）代码中提取智能体工作流图，生成威胁建模报告。

技术特点：

• 静态分析：无需运行代码，直接解析源代码

• 框架支持：主流Agent框架的语法识别

• 可视化输出：自动生成智能体交互图

• 多模型支持：计划支持STRIDE、PASTA等多种分析模型

优势：

• 开发者友好：直接集成到CI/CD流水线

• 快速反馈：代码提交时自动生成安全分析

• 可视化复杂交互：帮助理解Agent协作关系

局限性：

• 静态分析局限：无法发现运行时动态行为风险

• 框架依赖：对新框架的支持需要时间

适用场景：

• 开发团队希望在CI/CD中集成安全分析

• 需要快速可视化Agent工作流的项目

• 敏捷开发环境下的轻量级威胁建模

3.9、MITRE ATLAS：对抗战术知识库

核心理念：MITRE ATT&CK框架在AI领域的姊妹版，基于真实攻击案例，对针对AI系统的对抗战术、技术进行分类，形成完整的知识图谱。

知识库结构：

• 战术（Tactics）：攻击者的高阶目标（如初始访问、持久化）

• 技术（Techniques）：实现战术的具体方法（如提示词注入）

• 案例库：真实世界的攻击案例和红队演练记录

优势：

• 实战性强：基于真实攻击观察，不是理论推导

• 系统性：完整覆盖攻击生命周期的各个阶段

• 持续更新：随着新攻击手法出现而不断丰富

局限性：

• 被动性：主要反映已知攻击，对未知威胁覆盖有限

• 需要专业知识：有效使用需要对战术技术有深入理解

适用场景：

• 安全研究员研究攻击手法

• 红队模拟真实威胁进行演练

• 防御者基于威胁情报完善检测规则

4、框架与工具综合比较

4.1、按核心能力维度对比

框架/工具	系统性	自动化程度	量化能力	开发者友好	实战性	治理衔接
MAESTRO	⭐⭐⭐⭐⭐	⭐⭐	⭐⭐	⭐⭐	⭐⭐⭐	⭐⭐⭐⭐
AWS矩阵	⭐⭐⭐	⭐	⭐⭐	⭐⭐⭐	⭐⭐	⭐⭐⭐⭐⭐
ASTRIDE	⭐⭐⭐⭐	⭐⭐⭐⭐⭐	⭐⭐	⭐⭐⭐⭐	⭐⭐⭐	⭐⭐
NVIDIA框架	⭐⭐⭐⭐	⭐⭐⭐	⭐⭐	⭐⭐	⭐⭐⭐⭐⭐	⭐⭐
CBRA	⭐⭐⭐	⭐⭐	⭐⭐⭐⭐⭐	⭐⭐⭐	⭐⭐	⭐⭐⭐⭐⭐
OWASP AIVSS	⭐⭐	⭐⭐	⭐⭐⭐⭐⭐	⭐⭐⭐	⭐⭐⭐	⭐⭐⭐⭐
Threat Dragon扩展	⭐⭐⭐	⭐⭐⭐	⭐⭐	⭐⭐⭐⭐	⭐⭐	⭐⭐
Agent Wiz	⭐⭐⭐	⭐⭐⭐⭐	⭐	⭐⭐⭐⭐⭐	⭐⭐	⭐
MITRE ATLAS	⭐⭐⭐⭐⭐	⭐	⭐	⭐⭐	⭐⭐⭐⭐⭐	⭐⭐⭐

4.2、按适用角色维度对比

框架/工具	开发者	安全工程师	红队	CISO/风险官	合规团队
MAESTRO	⭐⭐⭐	⭐⭐⭐⭐⭐	⭐⭐⭐	⭐⭐⭐⭐	⭐⭐⭐⭐
AWS矩阵	⭐⭐⭐	⭐⭐⭐	⭐⭐	⭐⭐⭐⭐⭐	⭐⭐⭐⭐⭐
ASTRIDE	⭐⭐⭐⭐	⭐⭐⭐⭐⭐	⭐⭐⭐	⭐⭐	⭐⭐
NVIDIA框架	⭐⭐	⭐⭐⭐⭐	⭐⭐⭐⭐⭐	⭐⭐	⭐⭐
CBRA	⭐⭐	⭐⭐⭐	⭐⭐	⭐⭐⭐⭐⭐	⭐⭐⭐⭐⭐
OWASP AIVSS	⭐⭐	⭐⭐⭐⭐	⭐⭐⭐	⭐⭐⭐⭐⭐	⭐⭐⭐⭐
Threat Dragon扩展	⭐⭐⭐⭐	⭐⭐⭐⭐	⭐⭐	⭐⭐	⭐⭐
Agent Wiz	⭐⭐⭐⭐⭐	⭐⭐⭐	⭐	⭐	⭐
MITRE ATLAS	⭐⭐	⭐⭐⭐⭐⭐	⭐⭐⭐⭐⭐	⭐⭐⭐	⭐⭐

4.3、优劣势总结

框架/工具	核心优势	核心劣势
MAESTRO	系统性最强，覆盖完整攻击链	复杂度高，实施门槛高
AWS矩阵	战略清晰，便于高层沟通	过于宏观，缺乏技术细节
ASTRIDE	自动化程度最高，左移安全	新兴技术，成熟度待验证
NVIDIA框架	实战性最强，动态对抗测试	资源消耗大，部署复杂
CBRA	量化能力最强，与治理衔接	评估主观性，静态分析
OWASP AIVSS	标准化评分，便于沟通	评分复杂，行业共识待形成
Threat Dragon扩展	低成本，灵活可定制	功能有限，依赖人工
Agent Wiz	开发者最友好，CI/CD集成	仅静态分析，缺乏运行时
MITRE ATLAS	知识最全面，基于真实案例	被动反映已知威胁

5、框架选择指南与实践建议

5.1、如何根据需求选择框架？

场景1：你是技术负责人，希望在设计/开发阶段系统性发现风险

• 首选组合：ASTRIDE（设计阶段自动化分析）+ Agent Wiz（代码阶段CI/CD集成）

• 备选：OWASP Threat Dragon扩展（低成本的灵活方案）

场景2：你是安全研究员/红队，需要对高风险系统深度测试

• 首选组合：MITRE ATLAS（攻击手法知识库）+ NVIDIA框架（动态对抗测试）

• 备选：MAESTRO（系统性理解攻击面）

场景3：你是CISO/风险官，需要量化风险、制定治理策略

• 首选组合：AWS矩阵（战略规划）+ CBRA（风险量化）+ OWASP AIVSS（漏洞评分）

• 备选：MAESTRO（获取技术深度理解）

场景4：你是中小团队，希望低成本快速上手

• 首选：OWASP Threat Dragon扩展（基于成熟工具）

• 逐步引入：Agent Wiz（开发者友好）+ MITRE ATLAS（免费知识库）

5.2、构建完整威胁建模体系的路径建议

一个成熟的Agent AI安全体系，往往需要结合多个框架的互补优势：

第一阶段：认知与规划

• 使用 AWS安全范围矩阵 明确项目定位和责任边界

• 参考 MITRE ATLAS 了解可能的攻击手法

第二阶段：设计与分析

• 使用 MAESTRO 七层架构进行系统性威胁分析

• 或采用 ASTRIDE 从架构图自动化识别威胁

• 开发人员可在IDE中集成 Agent Wiz 进行实时分析

第三阶段：测试与验证

• 部署 NVIDIA框架 进行动态对抗测试

• 基于 MITRE ATLAS 案例库设计红队演练

第四阶段：量化与治理

• 使用 CBRA 计算系统风险分数

• 对发现的漏洞采用 OWASP AIVSS 进行标准化评分

• 根据风险等级分配资源，并与CSA控制矩阵和法规要求对齐

第五阶段：持续监控与演进

• 结合 MAESTRO 的可观测性层设计监控指标

• 跟踪 MITRE ATLAS 更新，及时应对新威胁

5.3、未来趋势展望

Agent AI威胁建模领域正在快速演进，未来可能出现以下趋势：

1. 框架融合：不同框架之间的边界将模糊，出现更多混合型解决方案

2. 自动化增强：AI辅助威胁建模将成为标配，大幅降低人工成本

3. 标准化加速：随着行业共识形成，OWASP AIVSS等标准将更广泛采用

4. 运行时动态建模：静态设计分析与运行时动态监控将更紧密结合

5. 法规驱动：随着欧盟AI法案等法规落地，与合规衔接的框架将更受重视

6、总结

Agent AI的威胁建模是一个复杂但至关重要的领域。没有单一的"银弹"框架能够解决所有问题，明智的做法是根据自身角色、项目阶段和资源条件，选择合适的框架组合。正如我们在本文中看到的，从战略规划到技术实现，从静态分析到动态测试，从定性评估到量化评分，现有的框架和工具已经形成了一个相对完整的生态系统。