AI Agent 代理：架构、安全与最佳实践

AI Agent 不只是生成文本。获得工具能力后，它可以抓取数据、调用 API、操作浏览器。代理可以为这些网络动作提供一条可控的互联网出口，但它应被视为基础设施，而不是绕过访问控制的捷径。

“AI Agent 代理”是什么意思？

正向代理位于 Agent 运行环境与目标服务之间。Agent 将 HTTP、HTTPS 或 SOCKS 流量交给代理，再由代理代表它连接目标。对于 HTTPS，HTTP CONNECT 方法可通过中间节点建立隧道。

执行目标域名白名单和出站策略。
为合法的本地化或可用性测试选择地域出口。
为有状态的浏览器会话保持稳定 IP。
将相互独立的任务分配到健康的出口池。
统计连接延迟、状态码和失败率。

代理不会自动让 Agent 匿名、合规或稳定。目标服务仍可能观察浏览器指纹、账户行为、Cookie、请求节奏以及应用层标识。

为什么 AI Agent 需要明确的代理策略

Agent 会反复调用工具，也可能受到意外输入或恶意内容影响。OpenAI Agents SDK 文档将工具描述为 Agent 获取数据、调用 API、运行代码或使用计算机的机制。OWASP 关于“过度代理权”的指南则提醒：过宽的工具权限可能把含糊或被操纵的模型输出转化为有害操作。

因此，网络路由本身就是一项策略决策。成熟的代理层应在请求离开环境前确认目标是否获准、应使用哪个身份与会话、适用怎样的重试和速率策略，以及哪些遥测信息可以安全记录。

参考架构

生产系统通常将决策与传输分离：Agent 选择经过批准的浏览器或 HTTP 工具；出站策略服务校验目标、任务和租户；代理网关根据路由键选择上游出口；指标返回编排层，但不向模型暴露代理凭证。

可以使用 tenant_id + workflow_id + session_id 作为稳定路由键。这样既能保持网络身份一致，也能让编排层重试或恢复任务。代理用户名和密码应保存在密钥管理系统中，只在运行时注入，绝不能出现在提示词、追踪记录、截图或工具输出中。

代理是传输与策略边界，不是验证码绕过器、授权绕过器，也不代表可以忽略网站条款。

如何选择代理类型

数据中心代理

数据中心出口通常是 API 调用、公开数据集、测试和高吞吐任务的首选。它速度快、成本可控、易于监测。当目标确实需要消费网络特征，或其风控系统会区别对待共享托管网段时，它可能不适合。

静态 ISP 代理

静态 ISP 出口兼具固定地址和 ISP 关联网络，适合需要稳定地域与身份的长期授权会话。应把它视为稀缺的会话资源，并监控账户与 IP 的绑定关系。

住宅或移动代理

只有当合法业务确实需要终端用户网络特征时才应使用，例如经过授权的本地化测试或区域 QA。供应商来源、用户同意、司法辖区、数据保留政策和可接受使用规则，比 IP 池规模更重要。

轮换与粘性会话

轮换适用于彼此独立、无状态的任务。登录、购物车、多步骤表单，以及任何依赖 Cookie 或服务端连续性判断的流程，更适合粘性会话。应在任务之间轮换，而不是在一次交易进行到一半时更换出口。

真正影响可靠性的模式

仅仅轮换代理并不能带来可靠性。应围绕每个出口建立反馈闭环：

分别设置连接、TLS、响应和任务总超时。
只重试可能属于暂时性的错误；对 429 和部分 5xx 响应使用有上限的指数退避与随机抖动。
遵循 Retry-After，配置熔断器，并按成功率、延迟和挑战信号给出口评分。
重试写操作时保留幂等键，并限制每个任务的尝试次数。

不要通过不断更换 IP 来重试认证失败、策略拒绝或确定性的校验错误。这会掩盖真正的问题，也可能放大滥用行为。

浏览器 Agent：最小 Playwright 示例

Playwright 支持全局或按浏览器上下文配置 HTTP(S) 与 SOCKSv5 代理。当多个 Agent 会话共享一个浏览器进程，但需要隔离 Cookie 和路由时，按上下文配置尤其有用。

import { chromium } from "playwright";

const browser = await chromium.launch();
const context = await browser.newContext({
  proxy: {
    server: process.env.PROXY_SERVER!,
    username: process.env.PROXY_USERNAME,
    password: process.env.PROXY_PASSWORD,
  },
});

try {
  const page = await context.newPage();
  await page.goto("https://example.com", {
    waitUntil: "domcontentloaded",
    timeout: 30_000,
  });
} finally {
  await context.close();
  await browser.close();
}

每个逻辑会话使用独立的浏览器上下文。不要在客户之间共享 Cookie，也不要让模型自行选择任意代理端点或凭证。

安全护栏

网络控制应降低提示词注入和工具误用造成的影响：

按工具设置目标主机、协议和端口白名单。
除非明确需要，否则阻断环回、链路本地、云元数据服务和私有网段，并防范 DNS 重绑定。
为每个 Agent 或租户发放短期代理凭证，并在模型之外执行并发和带宽限制。
对购买、账户变更、破坏性操作和敏感数据传输要求人工审批。
记录目标、策略决定、耗时、响应类别和路由 ID；避免记录正文、Cookie、授权头或原始凭证。

这些措施是模型护栏的补充，即使模型做出错误决定，网络边界仍然有效。

合规必须进入架构

在自动访问目标之前，应记录业务目的、授权依据、适用条款、速率限制、数据权利和地域限制。对于类似爬虫的行为，应评估网站公开政策和 Robots Exclusion Protocol。robots.txt 不能替代授权或法律，但它是自动化客户端应正确处理的标准化信号。

NIST AI 风险管理框架以 Govern、Map、Measure、Manage 四项职能组织风险工作。映射到 Agent 网络系统，就是明确责任人、梳理目标与数据流、度量失败和影响，并维护响应计划。

上线检查清单

定义允许访问的目标和任务目的；根据工作流选择代理类型，而不是根据营销话术。
为每个有状态会话绑定一个路由键，并隔离租户、Cookie 和浏览器存储。
在网关和目标两个层面执行速率限制；仅对合适的错误重试，并设置退避、抖动和次数上限。
监控出口健康状态，配置熔断器和默认拒绝的失败模式。
审核供应商来源、用户同意、保留政策、司法辖区、事件响应和凭证轮换。

结论

最适合 AI Agent 的代理，并不等于拥有最大的 IP 池。它应匹配工作流对身份和地域的需求，提供可度量的可靠性，支持最小权限凭证，并让运维人员能够执行明确的策略控制。先从小规模白名单架构开始，把会话行为定义清楚，在指标和治理成熟后再扩展。

AI Agent 代理：构建可靠、安全的智能体网络连接