【Agent 身份与安全】Agent 审计日志与归因

合规与事故调查问：哪个用户、通过哪个 Agent、在什么策略版本下、调用了什么 tool、访问了哪条记录？OAuth sub alone 不够——必须含 act（Agent）与策略决策。本文定义 最小日志集，给出 OpenTelemetry 建模建议，并标 PII 清洗点——联动 PAM/IGA 审计 与 零信任可观测性。

一、最小审计字段集

每条 Agent 相关事件建议包含：

deny 事件与 allow 同等重要——攻击探测留痕。

二、归因链

flowchart LR
  U["delegator_id<br/>用户"] --> A["agent_id<br/>Agent"]
  A --> T["tool_call"]
  T --> R["resource"]
  R --> D["decision + policy_version"]

调查查询示例（概念 SQL，非特定产品）：

SELECT timestamp, tool_name, resource, decision
FROM agent_audit
WHERE delegator_id = 'user-248289761001'
  AND agent_id = 'checkout-agent'
  AND timestamp BETWEEN '2026-06-01' AND '2026-06-02';

三、OpenTelemetry 建模

3.1 Span 层次

trace: agent.task.checkout
├── span: llm.completion (model=...)
├── span: agent.tool.run_sql
│   ├── attribute: delegator_id
│   ├── attribute: agent_id
│   ├── attribute: tool.args_hash (非明文 args)
│   └── span: db.query
└── span: agent.tool.send_email

3.2 推荐 Attributes（语义约定级）

勿把 Bearer token、邮件正文、SQL 绑定参数明文放入 span——用 hash 或 id。

3.3 与 MCP 对齐

MCP tools/call 应在 Host 创建 child span，server_id 作 attribute——多 Server 拓扑可过滤。

四、PII 清洗点

五、不可篡改与完整性

高合规场景：审计流 append-only（WORM / hash chain）；与 PAM 会话录像 不同——Agent 审计是 结构化事件 非 keystroke。

六、与 Policy Engine 联动

OPA decision log 已含 input/result——Agent 平台应 归一化 到上述字段集，避免 OPA 与 Gateway 各记一套。

七、反模式

1. 只记 allow 不记 deny
2. args 明文进 Splunk
3. 无 agent_id——无法区分用户自操作
4. 无 policy_version——无法复现当时规则

八、边界

• 具体 SIEM 字段映射因厂商而异
• OTel 语义约定仍在演进——以 opentelemetry.io 当前 spec 为准

九、args_hash

SHA256(canonical JSON)——勿记录明文 args。

十、deny 100% 采样

tail sampling 不作用于 deny/HITL 事件。

十一、post-incident runbook

按 delegator_id + time range 导出 tool 链。

上一篇：持续验证

下一篇：落地架构

参考资料

1. OpenTelemetry Specification, Semantic Conventions
2. PAM/IGA 审计
3. 零信任可观测性
4. RFC 8693, act claim 语义