Agentic Threat Detection

Agentic Threat Detection (ATD) 是 agent 原生威脅技法的開放、機器可讀、可執行列舉。每條技法綁定偵測邏輯,並對映既有的論述型框架 ── OWASP Agentic Top 10、MITRE ATLAS、CWE、AVID。

那些框架告訴你 agent 會出什麼錯。ATD 是其下的一層,告訴你 怎麼在 runtime 偵測它 ── 而且附帶可量測的誤報率。ATD 之於 agentic 安全,如同 Sigma 之於 SIEM 偵測。

狀態:Editor's Draft ── 一份 request for comments,公開邀請共同撰寫。它尚未是 ratified standard;唯有達到 §8 的中立門檻後才冠此名。我們公開它是為了徵集協作者與對映夥伴,不是宣稱權威。

ATD 列舉 可在 agent I/O 觀測到的 agent-runtime 威脅技法:prompt/content、tool call、tool response、inter-agent 訊息、memory 操作、trace、螢幕狀態、payment mandate。

• ATD MUST NOT 鑄造漏洞實例識別碼。特定 MCP server 的特定 CVE 屬於 CVE / GHSA / OSV / AVID;ATD 引用它,不取代它。
• ATD MUST NOT 自居為競爭性的頂層風險分類。「agentic 十大風險」的框架屬於 OWASP ASI;ATD 在其下,讓它可執行。
• ATD MUST 為每條技法至少對映一個上游框架,或在尚無對映時記錄該缺口。

此邊界是刻意的。鏡像 CVE 地盤的漏洞登錄(如已封存的 GSD)碎片化而停擺。ATD 填的是無人覆蓋的 可執行偵測 層,不重打已定的戰場。

ATD 採用兩條軸,借自已驗證的標準:

• Tactic / Technique 矩陣(MITRE ATLAS 模型):Tactic 是對手的目標階段;Technique 是具體、可偵測的攻擊模式;Sub-technique 是變體。
• 抽象層級(CWE 模型):每條技法標 pillar / class / base / variant。

識別碼。Tactic 為 ATD-TA1 … ATD-TA9。Technique 為 ATD-T0001(補零、序列、永久、不重用);sub-technique 用點記法 ATD-T0001.001。每條偵測規則另帶 UUIDv4,使規則在改名後仍可追蹤 ── technique 是 catalog,rule 是綁定其上的可執行實例。

成熟度。每條技法與規則皆帶階梯狀態 experimental → test → stable(加 deprecated)。production 消費者 SHOULD 只自動同步 stable。

technique entry 是 YAML/JSON 文件,對 normative JSON Schema(Draft 2020-12)驗證,隨 repo 發布,設計上與 OSV 及 Sigma 生態相容。必填欄位:

atd_id            ATD-T####            永久
schema_version    SemVer, 無 "v"        加法式 minor 保證(OSV)
title             簡短祈使片語
tactic            ATD-TA#
abstraction       pillar | class | base | variant
status            experimental | test | stable | deprecated
description       技法與其攻擊機制
detection_surface content | tool_input | tool_response |
                  inter_agent_msg | memory_op | trace | screen | payment_mandate
mappings          owasp_asi[] · mitre_atlas[] · cwe[] · avid[] · maestro_layer[]
references         advisory / CVE / research URL(真實證據)
detection_rules   UUIDv4[] 指向 rule corpus

detection rule 重用已在 production 的 ATR rule schema:regex/conditions、true_positives 與 true_negatives(精準度測試)、false-positive 註記、response action、合法的 agent_source.type。

合法性來自互通,而非自封權威。每條 ATD 技法在有對應槽時對映 OWASP ASI、MITRE ATLAS、CWE;在適用時加上 AVID 與 MAESTRO 層。ATD 借這些框架的權威,並將其 ★缺口以提議技法與案例研究回饋給它們。

ATD 設計上與 AVID 互通而非競爭 ── AVID 已營運一個有治理、開放投稿的 AI 漏洞登錄。ATD 提供 AVID「Detection」報告類型所期待的可執行偵測。

• conformant technique entry MUST 通過 JSON Schema 驗證,至少帶一個框架對映(或記錄缺口),並至少引一個 reference。
• conformant detection rule MUST 通過精準度閘:每條宣告的 true-positive 命中、對公開 benign corpus 零誤報、無跨規則衝突。
• conformant consumer MUST 尊重 maturity 欄,並 SHOULD 在每筆偵測上揭露 ATD-T#### id。

ATD 依書面 charter 治理,以開放草案發布,並公開邀請共同撰寫。它在達到一條具體、公開的中立門檻(採自 OpenSSF 專案生命週期:至少三名 maintainer,橫跨至少兩個組織)後冠上 standard 之名 ── 我們正在積極就位。

治理採 Minimal Viable Governance charter:maintainer 的 lazy consensus、Technical Steering Committee 簡單多數 fallback、章程修訂需三分之二投票、無單人否決。規格以 CC-BY-4.0 授權且設計上可 fork ── 無任何一方能挾持它 ── 並承諾遷往中立基金會(OpenSSF working group,或 OWASP GenAI Security Project)。

徵求協作者 ── 若你的團隊從事 agent 安全,把工具對映到 ATD、投一條技法、或擔任 maintainer 席位。見 /contribute。