Agent Governance Toolkit v5.0.0

1一句话:它是什么

AGT 是微软 2025-2026 力推的开源 Agent 治理运行时(Agent Governance Runtime)。 本质是给 AI Agent 的每一次 工具调用 / 消息发送 / Agent 间委托 加一道 确定性代码拦截层——在 LLM 的意图真正"上线路"之前, 由确定性代码(不是 prompt、不是模型自我约束)判 allow / deny。

2它要解决的真实痛点

README 开篇直接点出企业上线 Agent 时回答不了的三个问题:

3核心机制:截在"上线路"之前

关键点:拦截发生在应用代码里,在模型意图到达 wire 之前。被 deny 的不是"概率低", 是 structurally impossible。这是它和所有 prompt-level 防护的根本分野。

from agentmesh.governance import govern

safe_tool = govern(my_tool, policy="policy.yaml")   # 每次调用都过策略

safe_tool(action="drop", table="users")
# → GovernanceDenied: Action denied by policy rule 'block-destructive'

# policy.yaml
apiVersion: governance.toolkit/v1
name: production-policy
default_action: allow
rules:
  - name: block-destructive
    condition: "action.type in ['drop', 'delete', 'truncate']"
    action: deny
  - name: require-approval-for-send
    condition: "action.type == 'send_email'"
    action: require_approval
    approvers: ["security-team"]

4四大能力层(每一层可选)

README 明说:"每一层都是可选的,先用 govern(),风险增长了再加层。多数团队只跑策略执行 + 审计。"

1. 策略引擎 (Policy Engine) — 核心层
   支持 YAML / OPA/Rego / Cedar 三种策略语言, 对每个 action 求 allow / deny / require_approval。 底层核心是 Rust 写的 ACS 引擎(policy-engine/core), 通过 FFI 暴露给 Python / Node / .NET / Go,跨语言语义一致。
2. 身份 (Identity) — SPIFFE/DID/mTLS
   每个 Agent 有可验证身份(SPIFFE SVID / 去中心化 DID),Agent 间通信走 mTLS。 解决"5 个 Agent 共用一个 key,出事分不清"的问题。可联邦到 Entra / TEE(可信执行环境)。
3. 沙箱 (Sandboxing) — Landlock/Seatbelt
   v5 新增 NonoSandboxProvider:Linux 走 Landlock、macOS 走 Seatbelt 的内核级沙箱, 过滤出站、AST 预扫。RingEnforcer 还带命令黑名单(;&| 元字符剥离防注入绕过)。 给 Agent 跑 subprocess / 文件操作时兜底。
4. 审计 (Audit / SRE) — 防篡改
   每次决策落 Decision Record(防篡改),agt verify --evidence ... --strict 可在 CI 里按证据强度 fail。agent-sre 模块提供运行时 SRE。 这一层满足审计/合规的"能证明发生了什么"。

5多语言 SDK + IDE/框架集成

AGT 是个巨型企业 monorepo,5 大语言一等公民,所有包在 v5 对齐到 5.0.0。 4.0 时还把 45 个 Python 包合并成 5 个分发(core / runtime / sre / cli / full)。

CLI 工具(任何框架都可用):

agt doctor                          # 检查安装
agt verify --evidence ./e.json --strict  # CI 里按证据强度 fail
agt red-team scan ./prompts/ --min-grade B # prompt 注入审计
agt lint-policy policies/            # 校验策略文件

6对齐的合规框架

7设计哲学:fail-closed(默认拒绝)

典型体现:CI 里 agt verify --strict,证据不达标直接 fail 构建; 你的扩展层(如 enterprise 配置)设了预算但模型无定价 → 抛错而非静默放行。

8对比与边界(给你做技术决策用)

vs. prompt 级 / 模型层护栏

它 不 解决什么(边界)

• 不做静态代码扫描(SAST)——那是 codex-security / Semgrep 的活。
• 不从根上消除 prompt 注入——它截断注入的后果(动作),让注入"得逞了也干不成事"。
• 不是模型对齐替代品——和模型层防护是纵深防御关系,不是二选一。
• Public Preview:微软自己标了"production-quality 但 GA 前可能有 breaking change",生产接入要锁版本。

95 分钟上手

# 1. 装(Python 3.10+)
pip install "agent-governance-toolkit[full]"

# 2. 写策略 policy.yaml(见第③节)

# 3. 包住你的 tool
from agentmesh.governance import govern
safe_tool = govern(my_tool, policy="policy.yaml")

# 4. 自检 / CI
agt doctor
agt verify --evidence ./agt-evidence.json --strict

进阶用 AgentControl(完整 manifest,可编排多 Agent 身份 + 沙箱 + 审计):

from agent_control_specification import AgentControl

runtime = AgentControl.from_path("manifest.yaml")
result = runtime.evaluate("input", {
    "envelope": {"agent_id": "example-agent"},
    "input": {"body": {"action": "web_search", "params": {}}},
})
print(result.verdict)
runtime.close()