AI 应用安全从旧流程迁过来怎么更稳做 AI 应用安全Agent 工具调用滥用、数据投毒与模型窃取防护 时存量系统迁移的分阶段切换路径往往不是补一份文档就能解决的事。先把对象、约束和判断依据摆出来不可信文本、工具权限、模型输出和外部数据源。如果这些基础信息说不清后面的自动化、评审和上线判断都没有可靠的落点。先把问题说具体这篇只讨论经过授权的开发、测试和防护工作。它不提供对真实目标的攻击步骤也不把未复现的现象写成结论。开始前应注明数据来源、可操作的权限以及出现异常时谁负责停下流程。按这个顺序处理先梳理旧流程中的工具调用、数据去向和人工审批点。迁移目标不是把每个步骤搬过去而是确认哪些控制仍需要保留哪些旧例外应该关闭。新旧链路并行时比较的重点是授权结果、数据最小化和拒绝行为而非只比较模型回答是否相似。涉及写入的工具应继续要求服务端校验和可撤销动作。变更按独立维度推进先接入观察再迁移一个工具域最后处理数据格式。把模型、协议和权限模型一起替换会让问题失去归因空间。结果要能复查留下的记录至少包括本次范围和前提、使用的版本与配置、验证输入及结果。运行侧则保留策略决策、工具调用记录、拒绝原因与脱敏后的请求关联标识。记录不需要堆满日志它应能让另一位同事沿着同一条件确认判断或发现判断在哪一步失效。下线前再问一次旧流程可以下线的前提是替代链路已覆盖同样的拒绝条件、审计字段和回退入口。若只是正常路径跑通迁移还没有结束。