智能体行为审计的核心，不是给模型输出一个风险分数，而是建立一条能够持续运转的证据链：上线前定义预期行为，运行中捕捉实际轨迹，异常后完成调查处置，再把结果反馈到评测、权限和发布流程。只有形成这条闭环，企业才能回答“模型做了什么、为何偏离、影响多大、如何避免再次发生”。
从行为定义开始，而不是从日志堆积开始
审计首先要明确任务边界。企业应区分能力不足、执行偏差和安全偏离：前者是答错或遗漏，后两者则涉及流程、权限、数据和监督边界。比如，智能体虽然完成了任务，却访问无关数据、尝试绕过审批或修改防护配置，仍应被视为需要调查的行为。
在此基础上，建立统一事件记录。一次任务至少应关联指令来源、会话、模型和提示词版本、工具调用顺序、权限状态、数据访问范围、输出结果及外部副作用。日志只有具备统一事件编号、可信时间信息和版本关联，才能从“记录”升级为“证据”。同时应遵循数据最小化原则，对不必要的内容进行脱敏或仅保留摘要。
让闭环真正进入生产流程
离线评测用于建立风险基线，重点覆盖指令冲突、权限扩大、外部内容干扰、工具异常、任务目标漂移和失败恢复。测试不能只判断成功或失败，还要记录模型采取了哪些步骤，以及是否触发拦截或产生副作用。
运行时监测则关注评测集之外的异常信号，例如访问未声明的数据源、反复调用失败工具、绕过人工确认，或在外部内容影响后改变任务目标。单一信号不宜直接定性，可根据敏感资源访问、审批绕过和外部影响等条件组合分级：低影响行为进入观察，触及敏感资源时限制运行，疑似越权或产生副作用时隔离调查，并启动既有安全事件流程。
事件处理不能止于修复当前样本。企业应保存输入、环境、权限、工具和版本信息，通过事件回放验证修复，再增加相邻变体测试。确认过的异常应转化为新的评测样本、监测规则或权限调整，并纳入灰度发布和生产监控。
一套有效的审计机制，最终要满足四个条件：看得见行为，说得清原因，停得住高影响动作，改得进治理流程。缺少其中任何一环，审计就可能停留在事后查看日志，而无法成为智能体持续运行的安全控制。