一句话定义：智能体运行时防护（Agent Runtime Protection）是在 AI 智能体（Agent）真正干活的过程中，实时观察并拦截它的工具调用、身份使用和出站网络行为的一层安全机制。
为什么需要它：聊天机器人说错话，最多是公关问题；智能体会动手做事，于是风险从「说错」变成「做错」。它能读文件、调 API、跑代码、发网络请求。一个被提示词注入（AI 词典：Prompt Injection">Prompt Injection）污染的 Agent，可能先用合法凭证读配置，再把内容拼进一个看似正常的 URL 发出去。每一步单看都合规，连起来才是事故。
打个比方：公司来了个能进机房、能签单的实习生。AI 安全态势管理（AI-SPM）是入职时查他的工牌和权限表；护栏（Guardrails）是站在他旁边听他说的话得体不得体；围堵（Containment / 沙箱）是把他关在受限的房间里；而运行时防护，是那份实时行为日志 + 现场叫停权：他此刻在开哪个柜子、拿什么、往哪儿送。
技术上的三个落点：一是工具调用的目标和参数（谁调了哪个工具、参数里有没有敏感数据）；二是凭证的实时校验（这个 Agent 此刻用的密钥是否越权、是否被跨环境复用）；三是出站流量（数据发往哪个域名、是否连了不在白名单上的地址）。它的价值在于看行为序列而非单点事件。
| 概念 | 关注对象 | 时机 | 典型问题 |
|---|---|---|---|
| AI-SPM | 资产与配置 | 事前盘点 | 我们有多少 Agent？权限配得是否过宽？ |
| 护栏 Guardrails | 输入输出的内容 | 交互边界 | 这句话该不该说、这段回答合不合规？ |
| 围堵/沙箱 Containment | 执行环境的隔离 | 事前 + 事中 | 它想乱来，能把破坏范围锁住吗？ |
| 运行时防护 | 运行中的动作 | 事中实时 | 它现在正在调什么、把什么发到哪？ |
前两者是静态的「应该怎样」，后两者管「实际怎样」。近期 Palo Alto 洽购 Clutch 的消息让这个方向受到关注，交易细节以官方公告为准，但逻辑很清楚：传统安全厂商想把网络与身份侧的检测能力，延伸到 Agent 的工具调用层。
对你的意义：如果你是 AI 从业者，评估这类产品时别只看它能否识别恶意提示词，要问它能不能拿到工具调用层的遥测数据，以及拦截是阻断还是仅告警。如果你在企业里推 Agent 落地，把「它能做什么」（权限设计）和「它实际做了什么」（运行时观测）当成两件事分别管理，缺一个，规模化上线就只能靠运气。