Agent安全插件上线前，法务要看数据流清单

阿里云智能体安全中心在 2026 年 9 月 10 日正式商业化，产品页列出资产盘点、风险检测、上线前安全验证和运行时防御。对已经接入业务的 Agent，法务眼下要回答的不是“有没有安全产品”，而是一个更窄的问题：防御插件实际看到了什么，哪些提示词、回复和工具调用会被送去检测？

这个问题会影响试点审批、客户材料和供应商条款。阿里云的公开文档显示，插件可为 OpenClaw 与 Hermes 平台上的 Agent 提供运行时防护；同一套说明也披露，插件会实时传输模型请求与响应、工具调用输入和返回结果。防护能力与数据处理范围在同一个组件里，采购审查只看拦截效果并不完整。

检测范围不等于只有攻击样本

产品动态把能力分为五个安全域：模型交互、运行工具、知识记忆、身份凭证和配置组件。其列出的风险包括提示词攻击、敏感数据外泄、工具调用风险、RAG 投毒、凭证泄露和组件漏洞。发布说明还列出 AI Red Teaming、Skills 安全检测，以及安装插件后针对模型交互、工具调用和网络访问实施告警或拦截的功能。

帮助文档进一步说明了数据流：管理服务在插件启动或配置变更时接收设备信息和 OpenClaw 配置；防护服务则在每次请求时接收用户提示词、系统提示词、模型回复、模型名称，以及工具名称、输入、输出、耗时和错误信息。传输使用 HTTPS/TLS 1.2 及以上。文档同时列出若干不采集的标准请求头，例如 Authorization、API-Key、Cookie。

因此，判断这项服务是否适合某个法律工作流，关键材料不是产品介绍里的“防护”二字，而是调用链上的实际内容。合同全文可能进入提示词，附件摘要可能进入工具输入，检索片段或客户名称可能出现在工具返回值。文档没有说这些内容只在本地处理，也没有在所查页面说明服务端留存时长；这两点应以合同、控制台配置及供应商书面答复核实，不能从加密传输推断出不留存或不出域。

试点审批表可以落到三项核对

第一项是接入对象。产品文档要求先把 AI 资产接入 Agent 安全中心，资产同步会覆盖 Agent、模型服务、工具集、数据集和应用配置。部署清单因而需要写明 Agent 的运行平台、调用模型、连接工具和数据集，不能只登记一个产品名称。

第二项是流量边界。将工作流拆成用户输入、系统提示、模型输出、工具入参和工具回参，逐项标记可能包含的合同、案件、个人信息或商业秘密。若条款约定内容不得向第三方提供，或者客户授权没有覆盖该处理链路，相关材料就不能直接进入此类服务；脱敏也要检查工具返回值和错误日志，不只是聊天窗口。

第三项是上线前后验证。官方材料称检测可识别若干攻击与配置风险，插件可以告警或拦截；这不是对特定法律任务准确率、漏报率或证据保全效果的承诺。试点记录宜保留测试用例、触发结果、误报漏报、策略版本和人工处置人。合同中也需区分服务方提供检测能力、客户配置策略、业务团队处理告警的责任，并确认计费、数据处理和事件通知条款。

权限收紧，仍不替代材料准入

风险控制可分两层：Agent 侧限制目录、工具和账号权限，检测侧决定哪些输入输出需要告警或拦截。前一层减少 Agent 能接触的内容，后一层处理运行中的异常；两者都不能自动证明某份材料可以交给第三方服务处理。

现有文档明确支持 OpenClaw 和 Hermes，安装插件会重启 OpenClaw Gateway，且防御插件自 2026 年 8 月 25 日起进入商业计费。对其他 Agent 平台，不能把产品页的一般性描述当成已支持承诺。试点方案应以实际部署平台、当前文档和合同附件为准。

这次更新适合纳入 Agent 采购评估，但审批材料需要同时展示“挡住了什么”和“检测时看到了什么”。两张表对得上，安全能力才有办法进入具体法律工作流的评估。

资料来源

• 阿里云：智能体安全中心正式商业化，2026年9月10日
• 阿里云帮助文档：安装防御插件
• 阿里云帮助文档：Agent 风险检测与防护