Why AI Agents Need Their Own Sigma: The Case for ATR

每個時代有它應得的偵測標準

當 server 成為企業基礎建設骨幹時,安全社群建了 Sigma — 讓任何 SIEM 用共用語言偵測威脅的通用規則格式。當網路流量成為攻擊面時,Suricata 給我們任何 IDS 能跑的深度封包檢查規則。Malware 爆炸時,YARA 給研究者一個 pattern 比對語言,把 IoC 變成可執行偵測。

這些標準有三個共同特性:開放、社群驅動、與框架無關。東京研究者寫的 Sigma 規則在柏林 SOC 能用。一位分析師發現的 YARA signature 保護每個載入它的 scanner。

AI Agent 現在是軟體中最快成長的攻擊面。它們執行 code、呼叫 API、讀檔案、管憑證、代表使用者做決策。但 prompt injection 繞過 Agent、被汙染 MCP 工具外洩環境變數、供應鏈攻擊把惡意 skill 偷渡到 marketplace 時 — 沒有標準化方式為它寫偵測規則。

這是 ATR 填的 gap。

ATR 實際上是什麼

ATR(Agent Threat Rules)是 AI Agent 威脅的 YAML-based 偵測標準。把它想成 Sigma,但為 AI Agent 產生的獨特事件類型從頭設計:LLM 輸入和輸出、工具呼叫和回應、MCP 交換、多 Agent 通訊、skill 生命週期事件、Agent 行為 pattern。

每條 ATR 規則是自包含 YAML 檔,指定要偵測什麼、怎麼偵測、命中時做什麼。規則包含嵌入測試案例 — 真陽性和真陰性都有 — 所以每條規則隨附自己的驗證套件。

id: ATR-2026-001
title: Direct Prompt Injection via User Input
severity: high
category: prompt-injection
detection:
  patterns:
    - "ignore previous instructions"
    - "you are now [A-Z]"
    - "system prompt override"
response:
  actions: [block_input, alert, snapshot]

格式刻意簡單。會讀 Sigma 規則就會讀 ATR 規則。會寫 regex 就能貢獻偵測 pattern。進入門檻刻意低 — 因為標準只在社群寫規則比攻擊者演化更快時才有效。

三層偵測

ATR 認知到 regex 不能抓每個攻擊。標準定義三個一起運作的偵測階層:

Layer 1:Pattern 比對。快、確定性的 regex 偵測。1 毫秒內抓到已知攻擊 signature。處理約 90% 威脅 — 明顯的 prompt injection、已知 tool poisoning payload、不該出現在 Agent 輸出的憑證 pattern。零外部依賴、零成本。

Layer 2:行為指紋。為每個 skill「正常做什麼」建基線 — 讀什麼檔、聯絡什麼網路端點、存取什麼環境變數。學習期後,任何偏離基線觸發告警。抓信任 skill 在更新後變惡意的供應鏈攻擊。

Layer 3:LLM-as-Judge。對逃過 pattern 比對和行為分析的曖昧情況,LLM 用完整 context 評估可疑內容。這是最慢、最貴的階層(1-5 秒,約 $0.008 每次評估),保留給 false negative 不可接受的高風險決策。

階層是相加,不是取代。Layer 1 是快速路徑。Layer 3 是慢速路徑。多數威脅永遠到不了 Layer 3。

既有標準不覆蓋的

OWASP 命名風險但不提供可執行偵測規則。OWASP Top 10 for Agentic Applications(2026)識別 10 個關鍵威脅 — prompt injection、tool 濫用、過度自主 — 但停在風險描述。沒有 YAML 檔能載入你的 Agent 框架偵測它們。

MITRE ATLAS 編目攻擊技術但不提供偵測格式。它把 AI 攻擊映射到分類,但不提供安全引擎能即時執行的規則。

ATR 橋接這 gap。每條 ATR 規則映射到特定 OWASP 和 MITRE ATLAS 條目,從風險分類到可執行偵測建立直接連結。ATR 目前覆蓋 10 個 OWASP LLM 風險中的 7 個和 10 個 OWASP Agentic AI 風險中的 6 個,每次發行擴展覆蓋。

113 條規則覆蓋 9 個攻擊類別

ATR 隨附 9 個類別的 113 條偵測規則:

• ●Prompt Injection(22 條)— 直接注入、透過外部內容間接、jailbreak 嘗試、系統 prompt 覆寫、多輪攻擊、編碼規避、CJK 特定 pattern
• ●Tool Poisoning(11 條)— 惡意 MCP 工具回應、透過工具輸出的指令注入、未授權工具呼叫、透過 Agent 工具的 SSRF
• ●Context Exfiltration(7 條)— 系統 prompt 洩漏、Agent 輸出中的憑證曝光
• ●Agent Manipulation(10 條)— 跨 Agent 攻擊、目標劫持、記憶汙染、信任利用
• ●Privilege Escalation(6 條)— Admin 函式存取、Agent 範圍漂移
• ●Excessive Autonomy(5 條)— 失控迴圈、資源耗盡、級聯失敗、未授權財務動作
• ●Skill Compromise(7 條)— 供應鏈汙染、description-behavior 不匹配、隱藏能力、多 skill 鏈攻擊
• ●Data Poisoning(1 條)— RAG 汙染、知識庫注入
• ●Model Security(2 條)— 模型萃取、惡意 fine-tuning 資料

設計上與框架無關

ATR 適用任何 Agent 框架:LangChain、CrewAI、AutoGen、Claude、OpenAI、Ollama、客製實作。TypeScript 引擎對載入的規則求值 Agent 事件,回傳含嚴重度、信心、建議反應動作的命中。

import { ATREngine } from 'agent-threat-rules';

const engine = new ATREngine();
await engine.loadRules();

const matches = engine.evaluate({
  type: 'llm_input',
  timestamp: new Date().toISOString(),
  content: userMessage,
});

引擎也以 MCP server 形式出貨,含 11 個工具 — scan、列規則、驗證規則、提交提案、分析覆蓋 gap、產生威脅摘要 — 所以 Claude Code、Cursor、Windsurf 使用者能直接從 IDE 查 ATR。

開放標準,不是產品

ATR 採 MIT 授權。貢獻的規則屬於社群。沒有 CLA、沒有專有工具、沒有遙測。標準早期 — RFC 狀態、v0.2.1 — 並刻意對限制透明。LIMITATIONS.md 檔記錄 regex-based 偵測無法抓到什麼:改寫攻擊、多模態注入、GCG adversarial suffix、新型 zero-day 技術。

這種誠實是刻意的。過度承諾的偵測標準比沒標準更糟。ATR 是縱深防禦策略中的一層,不是銀彈。

如何開始

60 秒內裝 ATR 並掃你的第一個 Agent 事件:

npx agent-threat-rules scan events.json

或把 MCP server 整合進 Claude Code:

{
  "mcpServers": {
    "atr": {
      "command": "npx",
      "args": ["agent-threat-rules", "mcp"]
    }
  }
}

ATR 早期、不完美、開放。如果 AI Agent 要安全,偵測標準不能屬於任何單一公司。必須一起建。