研究笔记
AIDR 运行时安全笔记
关于如何建设端点优先的 Agent 检测、调查与响应平台。
更新于 2026 年 8 月 16 日
为什么端点是第一控制面
Agent 继承用户权限，并通过本地工具、文件、凭证和网络执行动作。端点运行时证据因此是最早能够观测行为并施加已验证控制的位置。
漂移是调查起点，不是定罪结论
新模型、新工具、新端点或新调用模式应触发调查。响应策略实施前，必须回到会话证据并确认受影响范围。
可用状态也是安全契约
只有宿主协议能够可靠拒绝、审计证据能够持久保存、失败可以恢复并通过兼容测试，响应控制才算真正存在。路线图能力不能包装成当前阻断。