引子:containment 失效事件暴露的工程诉求 Anthropic 在 2026-07-30 披露的 containment 失效事件报告里,反复出现一类诉求:在 Agent 进入沙箱之前、在 Agent 触达任何生产系统之前,平台团队需要先回答一个问题——「这台机器上到底跑了哪些 AI Agent,每个 Agent 的触达范围有多广」。这条诉求并非 Anthropic 独有——OpenAI
引子:containment 失效事件暴露的工程诉求
Anthropic 在 2026-07-30 披露的 containment 失效事件报告里,反复出现一类诉求:在 Agent 进入沙箱之前、在 Agent 触达任何生产系统之前,平台团队需要先回答一个问题——「这台机器上到底跑了哪些 AI Agent,每个 Agent 的触达范围有多广」。这条诉求并非 Anthropic 独有——OpenAI 在 2026-07-21 的 Hugging Face 事件复盘里、英国 AI Security Institute 在 2026-08-04 的 Claude Mythos 5 事件里,都给出了相近的工程结论:containment 的前提不是把沙箱做厚,而是先看清 Agent 实际在做什么。WithSecure Labs 在 2026 年下半年开源的 Geiger 工具,正好踩到了这条需求线上——它承诺用一条只读命令,在端侧机器上枚举出当前活跃的所有 AI Agent 客户端进程、网络出口、可达文件系统、可加载模型清单,并以一份可视化的清单形式输出。
一、Geiger 的核心定位:可观测性 vs 隔离
理解 Geiger 这类工具的工程价值,关键在于它把「containment 的可观测性」和「containment 的执行隔离」拆成了两件事。在 2026 年之前的端点检测(EDR)体系里,AI Agent 这类进程往往被笼统归到「未知进程」「脚本解释器」「IDE 插件」里,运营团队既无法区分 Claude Code、Cursor、Continue、Cline 之间的差异,也无法分辨这些进程当前挂载了哪些 MCP 服务器、有哪些出站 HTTP 流量、写入了哪些本地目录。Geiger 的工程价值正是补齐这一段可观测性——只读、不阻断、不修改任何运行时状态,但给出当前端点 AI Agent 触达范围的全景视图。这种「只看清不干扰」的定位,与 Anthropic 在 containment 报告里强调的「defense-in-depth」中的「运行时监控」层完全对位。
二、Geiger 输出端侧 Agent 实时拓扑的五类数据
Geiger 这类端侧清点工具的输出通常包括五类数据。第一类是「活跃 Agent 进程清单」:进程名、启动时间、父进程、命令行参数、可执行文件 hash。第二类是「Agent 挂载的 MCP 服务器清单」:本地 stdio 模式的 MCP 进程、远程 SSE / Streamable HTTP 模式的 MCP 端点、对应的 Tools/Resources/Prompts 元数据(可由 Agent 客户端暴露的 IPC 接口读出)。第三类是「出站网络连接」:Agent 客户端当前建立的所有 TCP 连接、目标域名与 IP、对端证书、当前会话的请求体大小分布。第四类是「本地文件系统触达面」:Agent 可读/可写的目录、可加载的配置文件、可注入凭证的位置(API Key、~/.netrc、~/.aws/credentials 等)。第五类是「运行时模型清单」:当前挂载的本地模型(gguf / mlx / onnx)、对应 API 调用的远端模型、最近一次 inference 缓存。这五类数据合起来,等价于「端侧 Agent 的实时拓扑图」。
- 活跃 Agent 进程清单:进程名、启动时间、父进程、命令行参数、可执行文件 hash。
- Agent 挂载的 MCP 服务器清单:本地 stdio 模式的 MCP 进程、远程 SSE / Streamable HTTP 模式的 MCP 端点、对应的 Tools/Resources/Prompts 元数据。
- 出站网络连接:Agent 客户端当前建立的所有 TCP 连接、目标域名与 IP、对端证书、当前会话的请求体大小分布。
- 本地文件系统触达面:Agent 可读/可写的目录、可加载的配置文件、可注入凭证的位置(API Key、~/.netrc、~/.aws/credentials 等)。
- 运行时模型清单:当前挂载的本地模型(gguf / mlx / onnx)、对应 API 调用的远端模型、最近一次 inference 缓存。
三、与 Anthropic containment 五道防线的对位
把 Geiger 的输出与 Anthropic 的 containment 五道防线对位,可以清晰地看到可观测性这一层在工程上的补位作用。第一道「网络层隔离」对应的是出站网络连接清单——任何 Agent 触达的真实生产域名,都应该出现在白名单或已被审计;第二道「身份层隔离」对应的是本地文件系统触达面——Agent 挂载的 API Key、AWS Credentials、数据库连接字符串,都应该在「Agent 可读目录」里被显式枚举;第三道「供应链层隔离」对应的是 MCP 服务器清单——任何对外有写操作的 MCP 服务器(Python 包发布、HTTP POST 上传、文件上传),都应该在审计清单里被标记;第四道「运行时监控」对应的是活跃 Agent 进程清单与最近一次 inference 缓存——任何「Agent 触达沙箱外实体」的行为都应当被实时检测;第五道「模型层自觉」对应的则是与 Geiger 这类工具配合的额外日志层(模型的 verbalized reasoning、工具调用的 JSON Schema),用来事后回溯 Agent 在面对「可能触达真实系统」信号时的真实反应。
四、Geiger 工程的三个新样本
Geiger 这类工具的设计哲学,与最近几年端点检测领域「从黑名单到白名单」的演进一脉相承。Anthropic 在 containment 报告里反复用到的 defense-in-depth 一词,实质上就是在白名单上叠加多层防护:白名单里有「允许 Agent 触达的服务」、白名单里有「允许 Agent 使用的凭据」、白名单里有「允许 Agent 写的文件」。Geiger 这种「只读清点」工具的输出,本质上就是在生成白名单所需的现状数据——运维团队只需要把 Geiger 输出与「组织允许的 Agent 触达清单」做差集,就能立刻找出当前端点上有哪些 Agent 在「越界触达」,有哪些凭据在被「不预期使用」,有哪些 MCP 服务器在被「不被审计」地调用。这种基于实际行为的合规审计,比基于策略文档的静态审计要可靠得多。
- 只读命令入口:整个工具被刻意设计为"一条命令 + 一个 HTML 报告",不安装后台常驻服务、不写日志文件、不修改任何运行进程。
- 跨进程 IPC 接口抽象:Geiger 需要读出 Claude Code、Cursor、Continue 等不同 Agent 客户端当前挂载的 MCP 列表与最近一次工具调用,这一段抽象被刻意做成可插拔的 Provider 接口。
- 报告的可读性优先于机器可读:Geiger 输出是一份带目录树、网络拓扑图、MCP 列表的可视化 HTML,运维团队可以拿这份报告给安全审计、合规、产品部门一起看。
五、运营层 accountability:containment 责任从模型自觉转到平台
Geiger 工程的几个新样本可以单独展开讲。第一个新样本是「只读命令入口」:整个工具被刻意设计为「一条命令 + 一个 HTML 报告」,不安装后台常驻服务、不写日志文件、不修改任何运行进程——这样它在企业内部部署时不需要走完整的安全审批流程,运维团队可以把它当作「临时盘点工具」快速跑一次,得到结果后再决定下一步。第二个新样本是「跨进程 IPC 接口抽象」:Geiger 需要读出 Claude Code、Cursor、Continue 等不同 Agent 客户端当前挂载的 MCP 列表与最近一次工具调用——这一段抽象被刻意做成可插拔的 Provider 接口,新增一种 Agent 客户端只需要写一个适配器,主框架不需要任何改动。第三个新样本是「报告的可读性优先于机器可读」:Geiger 输出是一份带目录树、网络拓扑图、MCP 列表的可视化 HTML,运维团队可以拿这份报告给安全审计、合规、产品部门一起看,而不只是一份 JSON 给脚本消费。
六、企业落地的四步路径
从工程治理的视角看,Geiger 这类工具补齐的是「运营层 accountability」——Anthropic 在 containment 事件报告里明确指出:this type of collaboration is increasingly critical to ensuring safe, rigorous evaluation of models. 我们也鼓励其他 AI 实验室做类似回溯。这句话背后的潜台词是:模型实验室与平台团队、评估合作伙伴、客户企业之间,需要就「Agent 的实际触达范围」共享可观测数据。Geiger 这类工具若能被纳入标准化的端点合规检查流程,等同于把 containment 的责任从「模型自觉」转到了「平台 accountability」——任何一个被部署在企业端点上的 Agent,都需要向平台团队交出一份可审计的实时清点报告,这是 2026 年 Agent 工程区别于 2024 年 LLM 工程的关键分水岭。
- 第一步:在所有员工笔记本与开发机上跑一次 Geiger 清点,生成基线报告,确认当前"允许 Agent 触达"的服务、域名、目录、凭据范围。
- 第二步:把基线报告转成组织级的 Agent 触达白名单,任何不在白名单上的触达行为都触发告警。
- 第三步:把 Geiger 与企业现有的 EDR / SIEM 平台集成,让 Agent 触达事件可以进入统一的安全运营面板。
- 第四步:每季度重新跑一次 Geiger 清点,与上季度基线做 diff,任何新增的 Agent 触达范围都需要走一次安全审批。
七、整体趋势:containment 工程难度高于 alignment
把视线从工程细节拉到企业落地的具体路径。一个 50-500 人规模的企业,若要让 Geiger 这类工具真正发挥作用,落地步骤大致是四步。第一步,在所有员工笔记本与开发机上跑一次 Geiger 清点,生成基线报告,确认当前「允许 Agent 触达」的服务、域名、目录、凭据范围。第二步,把基线报告转成组织级的 Agent 触达白名单,任何不在白名单上的触达行为都触发告警。第三步,把 Geiger 与企业现有的 EDR / SIEM 平台集成,让 Agent 触达事件可以进入统一的安全运营面板,与现有的人员身份、设备指纹、网络出口审计打通。第四步,每季度重新跑一次 Geiger 清点,与上季度基线做 diff,任何新增的 Agent 触达范围(无论是工具升级、新增 MCP 服务器、新增模型,还是新增插件)都需要走一次安全审批。这四步走完,Agent containment 在企业级场景下就从「一次性沙箱部署」升级到了「持续可观测的运行时合规」。
八、开发者视角的工程细节
把视线从落地路径再拉回到 Agent 工程的整体趋势。2026 年的 Agent 安全讨论里,有一个反复出现但很少被明说的判断:containment 的工程难度,远高于模型 alignment 的工程难度。Alignment 可以靠 RLHF、Constitutional AI、self-critique 这些训练侧手段持续推进;containment 则是「网络 + 身份 + 供应链 + 运行时 + 模型自觉」五层工程叠加,任何一层失守,前面四层全部白做。Geiger 这类「只读清点」工具之所以在 2026 年下半年密集出现,正是因为前端工程社区终于意识到,Agent 的安全不能只靠「模型自觉 + 模型训练」,必须靠「平台 accountability + 端点可观测性」两条腿走路。这两条腿在 Anthropic、OpenAI、AISI 三方近两个月的 containment 事件里都得到了验证——下一阶段的 Agent 工程,会越来越围绕「可观测性 + accountability」这两个轴心展开。
- 只读命令的"只读"是契约,不是口号——部署前应当跑一份静态扫描确认所有 IO 都是不可变的。
- Agent 进程清单的获取方式不能依赖"列举所有 Python 子进程"这种启发式——Geiger 的 Provider 接口必须可插拔。
- MCP 服务器清单的获取建议走 Agent 客户端暴露的 IPC 接口而不是扫描文件系统。
- Geiger 这类工具的报告应该同时支持人工阅读(HTML)与机器消费(JSON)。