微软开源 Agent Governance Toolkit：覆盖 OWASP 智能体 Top 10，给 Claude Code 与 Codex 套上策略与沙箱

智能体跑起来之后，谁来管它？2026 年 10 月，微软在 GitHub 上开源了 AI Agent Governance Toolkit（AI 智能体治理工具包），给出的答案是一套从策略、身份、沙箱到可靠性工程的完整治理框架，并且宣称覆盖了 OWASP Agentic Top 10 安全风险的全部 10 条。仓库在 GitHub 上已收获约 6.5k 星标，采用 monorepo 结构，面向的是正在把自主智能体放进生产环境的团队。

它要解决什么问题

随着 Claude Code、Codex、Copilot 这类编码智能体被广泛使用，它们能读文件、跑命令、调接口、发消息，权限越大，风险面也越大：提示注入、工具投毒、秘密泄露、越权操作……这些问题在 OWASP 今年梳理的「Agentic Top 10」里被系统列出。微软这套工具包的定位，就是把治理能力做成一个可以挂在智能体旁边、又不绑定某一家模型或某一款运行时的「横切层」。

仓库的 About 描述写得直白：Policy enforcement（策略执行）、zero-trust identity（零信任身份）、execution sandboxing（执行沙箱）、reliability engineering（可靠性工程），并覆盖 10/10 的 OWASP Agentic Top 10。

四大能力支柱

策略执行是核心。工具包的策略引擎用 Rust 编写，底层基于微软自己的 OPA 实现 regorus，策略语言沿用 Open Policy Agent 的 Rego。示例策略里能看到针对印度 CERT-In、印度证监会 SEBI、英国监管等的合规规则；还内置了 secretPatterns（密钥模式）检测，可识别 Slack、GitHub App、npm、Google、Atlassian 等令牌格式，防止密钥被意外写进代码或日志。CLI 插件里还强化了「递归删除」这类高危操作的执行管控。

零信任身份体现在对每一次调用都做身份与权限校验，相关代码涉及 MCP 传输规范和请求头嗅探（如 Content-Length / Content-Type），确保智能体的动作可追溯、可归属。

执行沙箱则把智能体的运行关进受控环境。仓库里能看到 DockerDeployer 与 KubernetesDeployer 等部署组件，以及配套的提示注入基准测试（benchmarks/prompt-injection），帮助团队先在合成环境里验证行为，再放到真实系统中。

可靠性工程由 agent-sre 模块承担，它提供了 AgentRollout 这个 Kubernetes 自定义资源（CRD），用于滚动发布时的指标分析，让智能体能力的上线也能像传统服务一样灰度、可回滚。

多语言 SDK 与主流 CLI 全覆盖

为了让不同技术栈的团队都能接入，工具包提供了五套官方 SDK：Python、Rust、Go、.NET、TypeScript。其中 Rust、Go、.NET、TypeScript 的 SDK 近期还补齐了「上下文感知的敏感标识符检测」（如病历号、美国国家提供者标识 NPI 等），与 Python 实现对齐。

在智能体运行时这一层，工具包直接给主流编码助手做了原生插件：agent-governance-claude-code、agent-governance-codex-cli、agent-governance-copilot-cli、agent-governance-antigravity-cli、agent-governance-opencode。换句话说，无论你用的是 Claude Code、Codex、Copilot、Antigravity 还是 OpenCode，都能把策略扫描和沙箱管控接上，而不必为每个工具单独造轮子。

架构与工程实践

整个项目是一个大型 monorepo，版本线从 4.1.0 演进到 5.0.0。分层大致是：最底下是策略核心层（policy-engine + schemas + agent-control-spec），往上是多语言 SDK 层，再往上是各智能体 CLI 插件层，最外面是运行时与 SRE（agent-lightning 强化学习治理环境、agent-sre）、文档示例、基准测试和 CI 安全配置。

工程侧也能看出这是「认真做治理」的项目：用 gitleaks 做全量历史密钥扫描，用 OPA 测试框架跑策略单测，用 Docker Compose 跑集成测试，并配合 Dependabot 做依赖版本管理。从提交记录看，仓库在 2026 年全年保持高强度迭代，近期的活跃提交一直延续到 10 月底。

为什么它值得关注

过去一年里，围绕「怎么安全地让智能体干活」出现了不少单点方案，但把策略、身份、沙箱、可靠性放进同一个开源框架、还明确对齐 OWASP Agentic Top 10 的并不多见。对打算把智能体投到生产环境的团队来说，这类工具包的价值在于：它不要求你换掉现有的模型或 IDE，而是作为一个治理旁路，把「能做什么、不能做什么、出了事能追溯到谁」标准化。

当然，治理工具不是银弹——策略要自己写、沙箱要自己配、误报也要自己调。但当一个编码智能体已经能碰生产代码和密钥时，先给它套上一层策略与沙箱，远比事后救火要划算。对安全与合规负责人而言，把它和现有的 DevSecOps 流水线接上，或许会成为智能体规模化落地前的标配动作。

据微软 GitHub 开源仓库 microsoft/agent-governance-toolkit 及 GitHub Topics 2026 年 10 月信息整理。