ASILO 要求 — 0.1 版¶

状态：自 ASILO 0.1（2026 年 9 月 28 日；编辑修订 0.1.1）起生效。请先阅读规范性用语，并查阅版本历史。

ASILO 关注的是：借助 AI 构建的系统可以做什么、谁能够使其停止，以及如何验证它遵守了自己的边界。以下要求与技术无关：不依赖编程语言、框架或供应商。TypeScript 契约、具体的验证器以及环的编号属于应用配置。

这些要求不作的承诺。 满足这些要求并不能使系统变得安全、保护隐私、没有幻觉，也不意味着符合 OWASP、NIST、MITRE 或 ISO。每项要求都写明其残余风险。外部参考用于对照设计；参见外部框架。

ASILO-R-001 — 契约与信任边界¶

字段	内容
类别	与技术无关的要求 · 源自 ASILO-P-01
状态	`accepted` — ASILO 0.1（2026 年 9 月 28 日）
问题	模型的输出（文本、工具调用、代码）被当作有效指令来执行或保存。直接或间接的注入会把它变成攻击者的操作。
适用范围	凡是由模型生成的内容，或模型读取的外部数据，可能产生影响的所有位置：写入、工具调用、发送、代码执行、权限变更。
责任人	集成该模型的系统的技术负责人。
适用条件	只要存在至少一个由模型驱动的作用点。
可验证的表述	系统必须记录其信任边界，并针对每个作用点记录其所接受的契约（形式、允许的取值、版本）。模型输出必须被视为不可信数据：在产生影响之前，必须依据契约进行验证，并且依据发起请求的人员或服务的权限进行授权。形式验证不得被当作授权，也不得被当作对真实性的核实。不应当向模型提供其不需要的特权操作清单。
预期证据	边界图或边界表；带版本的契约；能够证明系统拒绝格式错误的输出以及格式正确但未获授权的输出的测试。
例外	没有作用点的系统（仅向人展示文本）记录这一情况；一旦情况改变，本要求即适用。
残余风险	注入可能产生一个有效且已获授权、却正是攻击者所希望的意图；契约和授权都无法发现被允许范围之内的恶意意图。
外部参考	OWASP LLM01:2025 Prompt Injection，LLM05:2025 Improper Output Handling；OWASP ASI01 Agent Goal Hijack，ASI02 Tool Misuse & Exploitation；MITRE ATLAS AML.T0051（.000 Direct，.001 Indirect，.002 Triggered），AML.T0053 AI Agent Tool Invocation。

ASILO-R-002 — 已声明的分层模型与依赖方向¶

字段	内容
类别	与技术无关的要求（环的编号与名称属于应用配置） · 源自 ASILO-P-01
状态	`accepted` — ASILO 0.1（2026 年 9 月 28 日）
问题	高风险代码（密钥、外部影响、第三方依赖）与本应保持纯粹的逻辑混在一起；没有人能说清哪一层信任哪一层。
适用范围	应用 ASILO 的系统的软件架构。
责任人	架构师或技术负责人。
适用条件	由多个模块或软件包组成、并声明应用 ASILO 的系统。
可验证的表述	系统必须声明其分层或环模型（名称、各层内容及来源配置）以及层与层之间的依赖规则。当应用配置允许时，依赖规则应当在持续集成中自动检查。本方法不得要求特定的编号或特定的层数。
预期证据	模型文档；自动检查的配置与结果；已记录的例外。
例外	单模块系统记录这一情况。
残余风险	遵守依赖方向并不能防止某一层内部的故障；编译器或 linter 只能证明它们所检查的内容。
外部参考	OWASP LLM03:2025 Supply Chain；OWASP ASI04 Agentic Supply Chain Vulnerabilities；NIST AI 600-1 Value Chain and Component Integration。

ASILO-R-003 — 上下文边界¶

字段	内容
类别	与技术无关的要求（具体接口属于应用配置） · 源自 ASILO-P-03
状态	`accepted` — ASILO 0.1（2026 年 9 月 28 日）
问题	智能体拿到“整个仓库”或全部历史记录：成本上升，关系被混淆，暴露了它并不需要的数据，并且扩大了被注入指令或被投毒记忆的攻击面。
适用范围	智能体或模型从系统或其用户处接收上下文的每一项任务。
责任人	智能体系统的负责人。
适用条件	可访问内部来源、个人数据或持久记忆的任务。
可验证的表述	每项任务必须有一份已声明的上下文预算，包含：允许的来源、排除的路径、允许的最高数据分级、大小上限和有效期。一份预算不得在不同任务之间复用。暴露等级中最高的两个级别（机密和关键）的数据，在没有已记录的人工批准或经过验证的匿名化之前，不得进入外部模型。从外部来源检索到的内容必须被视为不可信（ASILO-R-001）。
预期证据	各任务的预算；实际进入上下文内容的记录；批准记录。
例外	不涉及内部数据或记忆的任务（例如，基于使用者提供的文本进行写作）。
残余风险	最小化的上下文仍可能包含恶意指令或错误数据；匿名化不能保证不会被重新识别。
外部参考	OWASP LLM02:2025 Sensitive Information Disclosure，LLM07:2025 System Prompt Leakage，LLM08:2025 Vector and Embedding Weaknesses；OWASP ASI06 Memory & Context Poisoning；MITRE ATLAS AML.T0080 AI Agent Context Poisoning。

ASILO-R-004 — 面向智能体的最小且可撤销的权限¶

字段	内容
类别	与技术无关的要求 · 源自 ASILO-P-02
状态	`accepted` — ASILO 0.1（2026 年 9 月 28 日）
问题	智能体继承了启动它的人的全部权限，甚至更多；一旦被攻破或偏离，其危害范围就是整个账户。
适用范围	执行操作的智能体、子智能体和工具。
责任人	智能体系统的负责人。
适用条件	任何可访问工具或数据的智能体。
可验证的表述	每个智能体必须在运行之前拥有自己的身份和已声明的范围：允许的操作、可访问的数据、操作次数上限和委派深度。其范围不得比调用者的范围更宽。其范围不得在运行中扩大；变更范围应当意味着使用新的身份。系统必须能够撤销智能体，并且应当在每次操作之前检查撤销状态。
预期证据	带版本的范围声明；授权记录；超出范围即被拒绝的测试；撤销测试。
例外	对具有外部影响的智能体，无例外。
残余风险	在其合法范围之内，智能体仍可能造成损害；最小范围只能限制损害，不能消除损害。
外部参考	OWASP LLM06:2025 Excessive Agency；OWASP ASI02，ASI03 Identity & Privilege Abuse，ASI10 Rogue Agents；MITRE ATLAS AML.T0053。

ASILO-R-005 — 关键影响发生之前的人工审查¶

字段	内容
类别	与技术无关的要求 · 源自 ASILO-P-04
状态	`accepted` — ASILO 0.1（2026 年 9 月 28 日）
问题	难以撤回的影响（付款、删除、权限变更、发布、针对个人的决定）在无人知晓的情况下发生；或者反过来，凡事都要求批准，批准的人不再阅读就直接通过。
适用范围	负责人归类为关键的影响，以及处于模糊地带的决定。
责任人	系统负责人（定义清单）；审批人（作出决定）。
适用条件	当某项操作属于关键影响清单，或系统无法依据其规则作出决定时。
可验证的表述	系统必须维护一份明确的关键影响清单，该清单必须至少涵盖付款或转账、数据删除、权限变更、向第三方发布或发送，以及影响个人的决定。执行其中任何一项之前，必须取得获授权人员的确认，且该人员能看到将要实施的内容（差异、接收方、金额或受影响的对象）。该确认必须记录身份、日期和被批准的对象，并且不得能够被用于另一项操作。当规则无法作出决定时，该情形应当交由人工审查，而不是用默认值来解决。本要求不得被说成是对所有操作的人工审查。
预期证据	带版本的清单；批准记录；证明未经批准操作就不会执行的测试；每位审批人的批准量指标。
例外	紧急情况下，只有当负责人事先已作出定义，且事后进行了有记录的审查时，才可以在未经事先审查的情况下授权某项关键影响。
残余风险	审批人可能因疲劳、过度信任或被欺骗而批准；智能体可能以极具说服力的方式呈现该操作。人工审查不能保证决定正确。
外部参考	OWASP ASI09 Human-Agent Trust Exploitation；OWASP LLM06:2025 Excessive Agency；NIST AI 600-1 Human-AI Configuration（自动化偏见、过度依赖）。

ASILO-R-006 — 敏感数据与密钥¶

字段	内容
类别	与技术无关的要求（适用的法律属于司法辖区配置） · 源自 ASILO-P-03
状态	`accepted` — ASILO 0.1（2026 年 9 月 28 日）
问题	密钥或个人数据进入提示词、记忆或日志；模型将其泄露，或第三方在没有依据的情况下收到这些数据。
适用范围	系统处理的个人数据、未成年人数据、凭据和机密数据。
责任人	系统负责人；数据负责人。
适用条件	只要系统处理上述任何一类数据。
可验证的表述	每个数据集必须有分级、用途、适用的依据或同意、保留期限、撤销与删除机制，以及负责人。凭据和密钥不得进入模型的上下文；如需代表某人行事，应当使用一次性且范围最小的凭据。未成年人的数据应当被视为敏感数据。检测并拦截数据不得被说成是匿名化。
预期证据	数据清单；证明密钥不会到达模型的测试；保留策略；最高分级数据的访问记录。
例外	对凭据，无例外。对个人数据，按所适用的法律依据所规定的例外，并须记录。
残余风险	分级不完整、由非敏感数据推断出敏感数据，以及重新识别。本要求不能取代法律审查。
外部参考	OWASP LLM02:2025 Sensitive Information Disclosure；OWASP ASI03；NIST AI 600-1 Data Privacy。

ASILO-R-007 — 预算与连续性¶

字段	内容
类别	与技术无关的要求 · 源自 ASILO-P-05
状态	`accepted` — ASILO 0.1（2026 年 9 月 28 日）
问题	陷入循环或被操纵的智能体会无限制地消耗令牌、金钱或操作次数；停止它时，状态或其所作所为的证据随之丢失。
适用范围	有成本或有影响的智能体执行和模型调用。
责任人	智能体系统的负责人。
适用条件	所有有成本或有影响的自动化执行。
可验证的表述	每次执行必须有已声明的成本或令牌上限、操作次数上限和时间上限。上限一旦耗尽，执行必须停止或转交人工审查，绝不能悄无声息地继续。系统必须有一套停止机制，有明确的责任人，并在声称其有效的环境中经过测试。停止时，必须保留已执行内容的记录，并且应当允许在不重复已生效影响的前提下恢复执行。
预期证据	每次执行的上限；消耗记录；在所声明环境中的停止测试；恢复测试。
例外	纯本地、无成本也无外部影响的执行。
残余风险	上限无法防止在触及上限之前已造成的损害；在模拟环境中通过测试的停止机制，并不能证明它在生产环境中也能停止。
外部参考	OWASP LLM10:2025 Unbounded Consumption；OWASP ASI08 Cascading Failures；MITRE ATLAS AML.T0034.002 Agentic Resource Consumption。

ASILO-R-008 — AI 故障评估¶

字段	内容
类别	与技术无关的要求 · 源自 ASILO-P-06
状态	`accepted` — ASILO 0.1（2026 年 9 月 28 日）
问题	仅因为使用了角色、审查者或过滤器，就声称某个系统“不会产生幻觉”“能抵御注入”或“能避免迎合”，却从未度量过；逃过控制的错误也没有被记录。
适用范围	使用模型来生成内容、决定或操作，且这些结果会被他人使用的系统。
责任人	系统负责人；质量保证负责人。
适用条件	在公开或向客户声称系统适合其用途之前，以及每次模型或相关配置发生变更时。
可验证的表述	系统必须有一份评估计划，在适用时涵盖：（a）虚构或幻觉；（b）直接和间接的指令注入；（c）在使用者或其他智能体的压力下的迎合（sycophancy）；（d）智能体之间的故障（如果存在多个智能体）。每次评估必须记录模型与版本、配置、用例集、方法、结果和残余风险。系统文档不得声称此清单中的某项风险已被某项控制措施、角色或架构消除或保证不会发生。逃过控制的错误应当记入日志，并用于下一次评估。0.1 版不设定数值阈值。
预期证据	评估计划；注明日期且可复现的结果；事件日志；残余风险声明。
例外	没有外部用户、并已如此标注的内部原型；它们不能支撑公开声明。
残余风险	一次评估只涵盖已测试的用例，而非所有可能的用例；结果会随模型而变化。在任何已知控制措施之后，迎合、虚构和注入仍然可能发生。
外部参考	NIST AI 600-1 Confabulation，Information Integrity，Human-AI Configuration；OWASP LLM01:2025，LLM09:2025 Misinformation；OWASP ASI07 Insecure Inter-Agent Communication，ASI08；MITRE ATLAS AML.T0051，AML.T0062 Discover LLM Hallucinations。研究：Sharma et al. 2023（arXiv:2310.13548）；Kalai et al. 2025（arXiv:2509.04664）；Cemri et al. 2025（arXiv:2503.13657）；关于多智能体辩论中迎合问题的预印本 arXiv:2509.23055 和 arXiv:2605.12991。